如何用tcpdump识别udp数据包
我正在尝试使用tcpdump来自动处理pcap(将它们存储在ELK中)。 我的问题是我需要访问TCP标志,我不能确定一个数据包是TCP还是UDP。 如果我使用-q ,在目标端口号后面有一个相当明显的字段,但是不显示TCP标志: Oct 04 16:47:21.058974 00:08:e3:ff:fc:04 00:00:5e:00:01:19 171: 10.193.47.54.3389 > 10.60.2.87.54075: tcp 117 (DF) [tos 0x2 (E)] (ttl 127, id 14452, len 157) Oct 04 16:47:21.058990 2c:76:8a:53:2f:d6 00:08:e3:ff:fc:04 157: 10.60.7.17.54934 > 10.194.151.66.53522: udp 115 (ttl 62, id 0, len 143, bad ip cksum 0! -> c90d) 如果我删除了-q标志,这个字段大部分消失。 它只填充UDP数据包,但不是每一次(特别是DNS和SNMP请求)。 Oct 04 16:49:52.964277 00:08:e3:ff:fc:04 00:00:5e:00:01:19 […]