开源安全工具
tcpdump：永不离开服务器的数据包工具
tcpdump 是网络分析的捕获部分，它存在于我们接触的每台服务器上。当事件或交战需要证据并且盒子距离数百公里时，通过 SSH 的 tcpdump 会写入 Wireshark 稍后分析的文件。它是最小的、可靠的，并且以最好的方式有点荒谬：一次性安装，没有 GUI，并且 BPF 过滤器你可以在两周后凭记忆键入。
要点
- 核心反射： tcpdump -i any -n -wevidence.pcap -c 100000 主机 10.0.0.5 和端口 443 — 接口，无名称解析，写入文件，限制计数，过滤重要内容。
- -n（从不解析名称）在约定上是不可协商的：捕获期间的 DNS 查找会增加噪音并泄漏捕获本身。
- 快速文本读取使用 -A 或 -X 进行负载转储，但一旦需要实际分析，请停止并将 -w 文件发送到 Wireshark。
- BPF 是肌肉记忆：host、net、port、tcp 或 udp，以及带有 and、or、not 的组合过滤器；你学一次，用三十年。
- 用于长捕获的环形缓冲区： tcpdump -w capture -C 100 -W 20 旋转 100 MB 文件，因此在等待时磁盘不会填满。
- Snaplen 和循环规则：-s0 对于重要的完整数据包，在基础设施要求您清理已填满的磁盘之前设置的循环大小。
- 过滤表达式组成：tcp[13] & 2 表示 SYN 标志，读取标志过滤器就是 tcpdump 不再可怕的时刻。
- 授权框架在您捕获的任何机器上都保持不变：它必须是您的系统或在签名范围内，并且捕获包括其他用户的流量，因此请将文件视为敏感数据。
一线手记
我最长的捕获是在行为不当的网关上旋转的 2 GB 舞蹈 - 我只是保持冷静，因为 -C 100 -W 20 已经设置好了。搜索你自己的证据比解释一张已满的磁盘更重要。
常见问题
为什么不在服务器上运行 Wireshark？
重量和成本：生产主机上的 GUI 及其解析器是浪费，无头服务器没有显示器； tcpdump 是同一工作的命令行部分。
当显示过滤器存在时，BPF 值得学习吗？
是的，对于捕获：您无法过滤未存储的内容，并且严格的 BPF 可以保持捕获文件较小且分析速度较快。
捕获量可以有多大？
不受限制，无需关心 - 这就是 -C 和 -W 存在的目的，繁忙的网络填充磁盘的速度比任何人预订清理的速度都要快。
tcpdump 在 Windows 上工作吗？
不是原生的； Windows 端是 pktmon（现代）或 windump 构建（传统），老实说，大多数 Windows 数据包工作直接使用 Wireshark 进行。
Kinetikatech 如何在开源安全工具方面为您提供帮助
这是我们的日常工作：测试工具箱专业人员实际上一直在加载：扫描仪、嗅探器、破解器和网络代理解释了它们在实际操作中的使用方式 - 命令、标志、输出以及每个工具在方法中的位置。我们的渗透测试和Linux 服务器安全服务提供端到端覆盖：评估、实施、24/7 监控，以及 30 分钟内的应急响应。