前言：为什么要从 dumpcap 开始？

在我看来... 在日常的运维、 渗透测试或是研发调试中，网络流量的实时捕获往往是第一步。很多人一提到抓包， 就立刻想到图形化的 Wireshark，却忽略了它背后更轻量、更灵活的命令行工具——dumpcap。这玩意儿不光占用资源小，还能在服务器上毫不留痕地跑起来简直是“暗中观察”的最佳拍档。

一步到位：在不同发行版上装好 dumpcap

不同 Linux 发行版的包管理器各有千秋， 下面把常见的几种写得明明白白：

sudo apt-get update && sudo apt-get install dumpcap

sudo yum install dumpcap

sudo dnf install dumpcap

装好以后敲个dumpcap -v确认一下版本信息，看到类似 “D 总结一下。 umpcap version 4.x” 的输出，说明已经准备就绪。

快速上手：最常用的几条命令示例

1. 捕获所有接口的前 100 包

sudo dumpcap -i any -c 100 -w /tmp/capture.pcap

这里的 -i any 表示“所有网卡”， -c 100 限制只抓 100 条数据，-w 后面跟的是保存路径。即使你只想先瞅一眼，也可以把文件直接扔进 Wireshark 打开。

2. 指定单一网卡并实时写入磁盘

# 抓取 eth0 上所有流量， 每分钟自动切分一次文件
sudo dumpcap -i eth0 -b duration:60 -w /var/log/pcap/eth0_%Y-%m-%d_%H-%M.pcap

参数 -b duration:60 告诉 dumpcap 每隔 60 秒就生成一个新文件，这样即使磁盘空间紧张，也能避免单个大文件把系统卡死，坦白说...。

3. 控制文件大小与数量， 防止磁盘被吃满

# 每个文件最大10 MB，最多保留10个文件
sudo dumpcap -i eth0 -C 10 -W 10 -w /var/log/pcap/eth0_rotated.pcap

我当场石化。 -C 10 表示每个 pcap 文件不超过10 MB；-W 10 则是循环保留最近的十个文件。老的会被自动删除，让你安心睡大觉。

Dive into Dumpcap 参数：别让细节溜走！

如果你仔细阅读帮助文档，会发现还有许多隐藏宝藏。比方说：

• -f “tcp port 80” : 用 BPF表达式只抓 HTTP 流量；
• -s 0 : 把每个数据包完整保存下来 不做截断；
• -n : 禁止 DNS 名称解析，加快捕获速度；
• -Z user : 把捕获进程降权到普通用户，提高平安性。

Dumb & Smart：如何把抓到的数据喂给 Wireshark 做深度分析？

A) 打开图形化界面：

1. 在本地机器上启动 Wireshark。
2. 点击「File → Open」，挑选刚才用 dumpcat 保存的 .pcap 文件。
3. 利用 Wireshark 强大的过滤器（如 bpf filter: http && ip.addr==192.168.1.5") 精准定位感兴趣的数据包。

B) 用 tshark直接在终端分析：

# 输出所有 HTTP GET 请求
sudo tshark -r /tmp/capture.pcap -Y "http.request.method == GET"
# 按 IP 地址统计流量
sudo tshark -r /tmp/capture.pcap -qz iphosts,tree

Tshark 是 Wireshark 的 CLI 替身， 两者配合使用，可谓“一举两得”。当你对某段流量产生疑惑时 只要把它导出成 CSV， KTV你。 再用 Excel 或 Python 绘图，一切尽在掌握。

Diving Deeper：实战案例演练

Sit back and imagine your SIEM 告警说：“某台服务器频繁向外部域名解析”。我们可以这么做：

# 假设目标机器网卡叫 eth1
sudo dumpcap -i eth1 -f "udp port 53" -b filesize:5 -w /tmp/dns_traffic_%Y%m%d%H%M.pcap
# 捕获期间只关注 UDP DNS 包，大幅降低噪声。

白嫖。 C) 捕获结束后 用以下命令快速列出出现过多少独立域名：

# 列出唯一域名并计数
tshark -r /tmp/dns_traffic_*.pcap -Y "dns.flags.response == 1" \
       -T fields -e dns.qry.name | sort | uniq -c | sort -nr | head

大体上... If you see a long list of suspicious domains , 那么接下来就是阻断、调查和修复了。

Certainly， 你可能想知道到底是哪几笔请求耗时最长。只要加上一点过滤：

sudodump cap-ieth0-f"http and tcp port80"-w/tmp/web.pacpsudo t sh ark-r/tmp/web.pacps-Yhttp.request-method=="GET"-Tfields-eframe.time_relative-ehttp.request.full_uri|sort-n|head-20
 

This one‑liner 会输出相对时间戳和 URL，你可以直接 eyeball 哪些请求拖慢了整体响应。

Shrink Gap：让 DumpCap 成为你的日常守护神！

Simplicity: 不需要 GUI， 就能悄无声息地捕获关键流量； Sustainability: 通过分卷、限速、限大小，把资源占用控制在可接受范围内； Secureness: 配合-Z 普通用户身份运行，降低特权滥用风险； Ecosystem: 抓完交给 Wireshark、tshark、甚至自研脚本，一条龙服务。 \end{ul}，内卷。

——从零到熟练，只差一次动手！

简直了。 本文由 AI 自动生成， 仅作技术参考，如有疏漏敬请指正。