linux如何抓取DDOS数据流量和攻击者IP地址

此篇文章可以叫

• linux如何抓UDP,TCP包
• tcpdump工具的使用
• 等等….

1.tcpdump工具的基本使用命令

默认启动

tcpdump

普通情况下，直接启动tcpdump将监视第一个网络接口上所有流过的数据包。

监视指定网络接口的数据包

tcpdump -i eth1

如果不指定网卡，默认tcpdump只会监视第一个网络接口，一般是eth0，下面的例子都没有指定网络接口。　

监视指定主机的数据包

打印所有进入或离开sundown的数据包.

tcpdump host sundown

也可以指定ip,例如截获所有210.27.48.1 的主机收到的和发出的所有的数据包

tcpdump host 210.27.48.1 

这里 不做太多讲解 此篇文章 主要讲解 服务器被DDOS攻击如何查看攻击者ip地址

2.安装tcpdump

首先 Linux安装tcpdump 这里用centos7演示

yum install tcpdump -y;

3.查看linux本机网卡

4.监听抓包

演示：例如80端口被攻击port就设置80,xxx.xxx.xxx.xxx 改成自己服务器ip

tcpdump -i eth0 -nn dst xxx.xxx.xxx.xxx and dst port 80 -w test.cap

5.小结

运行成功 他会一直监听80端口,并且会在当前目录 生成一个 test.cap文件。此文件保存了流量的数据包

可以用工具打开

工具推荐wireshark,或者 使用科来网络科技分析系统

科来比较适合国人 中文 ip还能显示地区

科来下载地址：https://www.colasoft.com.cn/download/capsa.php