---
author: ''
category: 技术
comments_data:
- date: '2014-10-08 08:03:00'
  message: mk
  postip: 66.249.79.118
  username: 微博评论
- date: '2014-10-08 08:03:00'
  message: Repost
  postip: 66.249.79.118
  username: 微博评论
- date: '2014-10-08 08:33:01'
  message: mark
  postip: 61.155.149.29
  username: 微博评论
- date: '2014-10-08 08:33:01'
  message: '@有道云笔记收藏'
  postip: 61.155.149.29
  username: 微博评论
- date: '2014-10-08 08:33:01'
  message: Repost
  postip: 61.155.149.29
  username: 微博评论
- date: '2014-10-08 09:03:01'
  message: M
  postip: 183.218.141.43
  username: 微博评论
- date: '2014-10-08 09:33:01'
  message: '这东西很好用//@andreeeeew: M'
  postip: 198.143.130.90
  username: 微博评论
- date: '2014-10-08 14:03:00'
  message: '@有道云笔记收藏'
  postip: 36.248.100.62
  username: 微博评论
- date: '2015-06-10 10:55:42'
  message: very good
  postip: 211.140.2.10
  username: 来自 - 浙江杭州 的 Chrome/Windows 用户
- date: '2017-02-17 10:44:06'
  message: '@有道云笔记收藏'
  postip: 125.215.44.105
  username: 来自上海的 Chrome 53.0|Windows 7 用户
- date: '2023-05-17 11:20:20'
  message: 最后一个示例参数粗欧文&nbsp;&nbsp;@wxy
  postip: 103.211.230.192
  username: 来自亚太地区的 Opera 97.0|Mac 10.15 用户
count:
  commentnum: 11
  favtimes: 3
  likes: 0
  sharetimes: 8
  viewnum: 29964
date: '2014-10-08 07:26:00'
editorchoice: false
excerpt: 问题：我想要监控TCP连接活动（如，建立连接的三次握手，以及断开连接的四次握手）。要完成此事，我只需要捕获TCP控制包，如SYN，ACK或FIN标记相关的包。我怎样使用tcpdump来仅仅捕获TCP
  SYN，ACK和/或FYN包？  作为业界标准的捕获工具，tcpdump提供了强大而又灵活的包过滤功能。作为tcpdump基础的libpcap包捕获引擎支持标准的包过滤规则，如基于5重包头的过滤（如基于源/目的IP地址/端口和IP协议类型）。  tcpdump/libpcap的包过滤规则也支持更多通用分组表达式，在这些表达式中，包中的任意字节范围都可以使用关系或二进制操作符进行检
fromurl: http://ask.xmodulo.com/capture-tcp-syn-ack-fin-packets-tcpdump.html
id: 3967
islctt: true
largepic: /images/p/201410/07/212916cdad5az4b150pwsp.jpg
permalink: /article-3967-1.html
pic: /images/p/201410/07/212916cdad5az4b150pwsp.jpg.thumb.jpg
related: []
reviewer: ''
selector: ''
summary: 问题：我想要监控TCP连接活动（如，建立连接的三次握手，以及断开连接的四次握手）。要完成此事，我只需要捕获TCP控制包，如SYN，ACK或FIN标记相关的包。我怎样使用tcpdump来仅仅捕获TCP
  SYN，ACK和/或FYN包？  作为业界标准的捕获工具，tcpdump提供了强大而又灵活的包过滤功能。作为tcpdump基础的libpcap包捕获引擎支持标准的包过滤规则，如基于5重包头的过滤（如基于源/目的IP地址/端口和IP协议类型）。  tcpdump/libpcap的包过滤规则也支持更多通用分组表达式，在这些表达式中，包中的任意字节范围都可以使用关系或二进制操作符进行检
tags:
- tcpdump
- 包捕获
thumb: false
title: Linux有问必答：如何使用tcpdump来捕获TCP SYN，ACK和FIN包
titlepic: false
translator: GOLinux
updated: '2014-10-08 07:26:00'
---


> 
> **问题**：我想要监控TCP连接活动（如，建立连接的三次握手，以及断开连接的四次握手）。要完成此事，我只需要捕获TCP控制包，如SYN，ACK或FIN标记相关的包。我怎样使用tcpdump来仅仅捕获TCP SYN，ACK和/或FYN包？
> 
> 
> 


作为业界标准的捕获工具，tcpdump提供了强大而又灵活的包过滤功能。作为tcpdump基础的libpcap包捕获引擎支持标准的包过滤规则，如基于5重包头的过滤（如基于源/目的IP地址/端口和IP协议类型）。


![](/images/p/201410/07/212916cdad5az4b150pwsp.jpg)


tcpdump/libpcap的包过滤规则也支持更多通用分组表达式，在这些表达式中，包中的任意字节范围都可以使用关系或二进制操作符进行检查。对于字节范围表达，你可以使用以下格式：



```
proto [ expr : size ]

```

“proto”可以是熟知的协议之一（如ip，arp，tcp，udp，icmp，ipv6），“expr”表示与指定的协议头开头相关的字节偏移量。有我们熟知的直接偏移量如tcpflags，也有取值常量如tcp-syn，tcp-ack或者tcp-fin。“size”是可选的，表示从字节偏移量开始检查的字节数量。


使用这种格式，你可以像下面这样过滤TCP SYN，ACK或FIN包。


只捕获TCP SYN包：



```
 # tcpdump -i <interface> "tcp[tcpflags] & (tcp-syn) != 0" 

```

只捕获TCP ACK包：



```
# tcpdump -i <interface> "tcp[tcpflags] & (tcp-ack) != 0"

```

只捕获TCP FIN包：



```
# tcpdump -i <interface> "tcp[tcpflags] & (tcp-fin) != 0"

```

之捕获TCP SYN或ACK包：



```
 # tcpdump -r <interface> "tcp[tcpflags] & (tcp-syn|tcp-ack) != 0" 

```

![](/images/p/201410/07/212920y6h9az3libaatz1b.jpg)




---


via: <http://ask.xmodulo.com/capture-tcp-syn-ack-fin-packets-tcpdump.html>


译者：[GOLinux](https://github.com/GOLinux) 校对：[wxy](https://github.com/wxy)


本文由 [LCTT](https://github.com/LCTT/TranslateProject) 原创翻译，[Linux中国](http://linux.cn/) 荣誉推出