Ubuntu 下使用 Dumpcap 捕获与后续分析
定位与安装
- Dumpcap 是 Wireshark 的命令行抓包组件，适合在 Ubuntu 上高效捕获网络流量。先确认是否已安装：运行 dumpcap --version；若未安装，执行：sudo apt update && sudo apt install wireshark（安装过程中会出现是否允许非 root 用户抓包的提示，按需选择）。抓包通常需要管理员权限，命令前加 sudo。
快速捕获与过滤示例
- 查看可用接口：dumpcap -D。
- 抓取指定接口并写入文件：sudo dumpcap -i eth0 -w capture.pcap。
- 只抓取 HTTP(80) 流量：sudo dumpcap -i eth0 -f “tcp port 80” -w http_only.pcap。
- 抓取 100 个包后自动停止：sudo dumpcap -c 100 -i any -w short.pcap。
- 环形滚动文件（每 60 秒一个，保留 5 个）：sudo dumpcap -G 60 -W 5 -i any -w cap_%Y-%m-%d_%H:%M:%S.pcap。
- 捕获过滤器使用 BPF 语法，常见写法：
- 源或目的 IP：ip.addr == 192.168.1.100
- 某主机的 80 或 443：host 10.0.0.5 and (tcp port 80 or tcp port 443)
- 仅 TCP：tcp
- 提示：过滤器字符串包含空格或特殊字符时，建议用单引号包裹，避免 Shell 解析错误。
分析捕获文件
- 图形化深度分析：用 Wireshark 打开 .pcap/.pcapng 文件（如：wireshark capture.pcap），利用其协议解析、着色规则、追踪流（Follow TCP/UDP Stream）、IO/协议统计等功能定位问题。
- 命令行快速查看与筛选：
- 查看包概要：tshark -r capture.pcap | head
- 只读 HTTP 流量：tshark -r capture.pcap -Y http
- 按源 IP 统计：tshark -r capture.pcap -q -z io,stat,1,“ip.src==192.168.1.100”
- 导出某 TCP 会话的负载：tshark -r capture.pcap -q -z follow,tcp,ascii,0<stream_index>
- 说明：Dumpcap 擅长“捕获”，详细“分析”通常交由 Wireshark/tshark 完成（Wireshark 安装包内含 Dumpcap）。
实用建议
- 权限与安全：抓包涉及网络数据与隐私，务必在合法授权范围内操作，并妥善保管 .pcap 文件。
- 性能与存储：高流量环境会占用较多 CPU/内存/磁盘，建议限制捕获规模（如 -c）、使用环形文件（-G/-W）、并预估磁盘空间。
- 过滤器优先：在抓包阶段用 BPF 过滤器（如 -f “tcp port 80”）减少无关流量，能显著提升后续分析效率。