Как я могу увидеть пакеты во время захвата с помощью tcpdump

Как я могу увидеть трафик во время захвата с помощью tcpdump.

Когда я использую -w, он не показывает пакеты во время захвата.

sudo tcpdump -i enp2s0 -w test.pcap
tcpdump: listening on enp2s0, link-type EN10MB (Ethernet), capture size 262144 bytes
^C6 packets captured
7 packets received by filter
0 packets dropped by kernel
Источник

4 ответа

Решение

Итак, после небольшого эксперимента, ответчик, если следующее:

sudo tcpdump -i enp2s0 -U -w - | tee test.pcap | tcpdump -r -

-w -: написать в стандартный вывод.

-U: писать пакеты, как только они приходят. Не ждите, пока буфер заполнится.

Tee напишет в файл, и tcpdump -r - читать пакеты со стандартного ввода.

Источник

Чтобы прикрепить новый процесс к текущему дампу, попробуйте:

tail -F -n+0 $dumpfile | tcpdump -r -

Источник

-w опция - записать вывод tcpdump в файл. Вы можете удалить эту опцию, если хотите печатать на своем терминале.

Источник

Поскольку вы используете опцию -w, пакеты сохраняются в файл и не отображаются при стандартном выводе. Вот из справочной страницы tcpdumup:

https://www.tcpdump.org/manpages/tcpdump.1.html

-w file
    Write the raw packets to file rather than parsing and printing them out. They can later be printed with the -r option. Standard output is used if file is ``-''. 
    This output will be buffered if written to a file or pipe, so a program reading from the file or pipe may not see packets for an arbitrary amount of time after they are received. Use the -U flag to cause packets to be written as soon as they are received. 
    The MIME type application/vnd.tcpdump.pcap has been registered with IANA for pcap files. The filename extension .pcap appears to be the most commonly used along with .cap and .dmp. Tcpdump itself doesn't check the extension when reading capture files and doesn't add an extension when writing them (it uses magic numbers in the file header instead). However, many operating systems and applications will use the extension if it is present and adding one (e.g. .pcap) is recommended. 
    See pcap-savefile(5) for a description of the file format.

Если вы хотите сделать оба одновременно, вот способ достичь этого:

Как я могу сделать так, чтобы tcpdump записывал в файл и выводил соответствующие данные?

Источник
Другие вопросы по тегам