Thomas.will am 15. Juni 2026 um 16:02 Uhr

2026-06-15T16:02:22Z

Thomas.will: /* Siehe auch */

2026-06-15T16:00:43Z

Siehe auch

Thomas.will: Die Seite wurde neu angelegt: „= tcpdump – Referenz = '''tcpdump''' schneidet Netzwerkverkehr mit und filtert ihn über '''BPF'''-Ausdrücke. Aufbau:

 tcpdump [ OPTIONEN ] [ FILTER-…“

2026-06-15T16:00:13Z

Die Seite wurde neu angelegt: „= tcpdump – Referenz = '''tcpdump''' schneidet Netzwerkverkehr mit und filtert ihn über '''BPF'''-Ausdrücke. Aufbau: <pre> tcpdump [ OPTIONEN ] [ FILTER-…“

Neue Seite

= tcpdump – Referenz =

'''tcpdump''' schneidet Netzwerkverkehr mit und filtert ihn über '''BPF'''-Ausdrücke. Aufbau:

<pre>
tcpdump [ OPTIONEN ] [ FILTER-AUSDRUCK ]
</pre>

''Hinweis:'' meist als root. Für die Übungen zwei Terminals – eins mit tcpdump (mitschneiden), eins zum Traffic erzeugen.

== Wichtige Optionen ==

; -D
: verfügbare Interfaces auflisten
; -i eth0
: Interface wählen (<code>-i any</code> = alle)
; -n
: keine Namensauflösung von Hosts (schneller, IPs statt Namen)
; -nn
: zusätzlich keine Port-Namen (Zahlen statt ''http'', ''ssh'')
; -c N
: nach N Paketen aufhören
; -w datei.pcap
: roh in Datei schreiben (für Wireshark / spätere Analyse)
; -r datei.pcap
: aus Datei lesen
; -A
: Paketinhalt als ASCII (Klartext mitlesen)
; -X
: Inhalt als Hex + ASCII
; -e
: Layer-2-Header (MAC-Adressen) mit anzeigen
; -v / -vv / -vvv
: ausführlicher
; -s 0
: ganze Pakete erfassen (Snaplength, bei alten Versionen wichtig)
; -Q in|out
: nur ein- bzw. ausgehend

<pre>
tcpdump -D
tcpdump -i eth0 -nn
tcpdump -i eth0 -c 10 -w mitschnitt.pcap
tcpdump -r mitschnitt.pcap
</pre>

== Filter: Primitive ==

Aufbau aus ''Typ'', ''Richtung'' und ''Protokoll''.

; host 10.0.2XX.5
: Verkehr von/zu diesem Host
; src host / dst host
: nur Quelle bzw. Ziel
; net 10.0.2XX.0/24
: ganzes Netz
; port 53
: Quell- oder Zielport
; src port / dst port
: nur Quell- bzw. Zielport
; portrange 22-80
: Portbereich

Protokolle direkt als Schlüsselwort:

; icmp / icmp6
: ICMP bzw. ICMPv6 (Ping, Neighbor Discovery)
; arp
: ARP
; tcp / udp
: Transportprotokoll
; broadcast / multicast
: Broadcast- bzw. Multicast-Verkehr

<pre>
tcpdump -i eth0 host 10.0.2XX.104
tcpdump -i eth0 dst port 22
tcpdump -i eth0 icmp
tcpdump -i eth0 arp
tcpdump -i eth0 port 53
</pre>

== Filter: Verknüpfen ==

Mit <code>and</code>, <code>or</code>, <code>not</code> kombinieren (Klammern ggf. in '...' quoten):

<pre>
tcpdump -i eth0 tcp or udp
tcpdump -i eth0 'host 10.0.2XX.104 and port 80'
tcpdump -i eth0 'tcp and not port 22'
</pre>

== Filter: TCP-Flags ==

Byte 13 im TCP-Header trägt die Flags. Wertigkeiten: FIN=1, SYN=2, RST=4, PSH=8, ACK=16, URG=32.

; nur SYN (Verbindungsaufbau / Portscan-Erkennung)
: SYN gesetzt, ACK nicht – also kein SYN-ACK

<pre>
# numerisch
tcpdump 'tcp[13] & 2 != 0 and tcp[13] & 16 == 0'

# lesbar (gleiches Ergebnis)
tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn'
</pre>

== Klartext mitlesen ==

<pre>
# HTTP ist Klartext -> Inhalt sichtbar
tcpdump -i eth0 -A port 80

# gezielt nach HTTP-Methode filtern
tcpdump -i eth0 -A port 80 | grep "GET"
</pre>

''Merksatz:'' bei <code>port 443</code> (HTTPS) bleibt der Inhalt verschlüsselt, aber Ziel-IP, Port und SNI (Hostname) sind weiterhin sichtbar.

== Bezug zu den Übungen ==

Jede Aufgabe ist eine Kombination aus genau diesen Bausteinen:

* Interface wählen → <code>-i</code>, vorher <code>-D</code>
* Host/Port eingrenzen → <code>host</code>, <code>port</code>, <code>dst/src</code>
* Protokoll eingrenzen → <code>icmp</code>, <code>icmp6</code>, <code>arp</code>, <code>tcp/udp</code>, <code>broadcast</code>
* Mitschnitt sichern/lesen → <code>-w</code> / <code>-r</code>
* Inhalt sehen → <code>-A</code>
* Verbindungsaufbau erkennen → TCP-Flag-Filter

== Siehe auch ==

* [[Ss]]
* [[Netcat (nc) – Basics]]

[[Kategorie:tcpdump]]
[[Kategorie:Cybersecurity]]

Tcpdump Basics - Versionsgeschichte

Thomas.will am 15. Juni 2026 um 16:02 Uhr

Thomas.will: /* Siehe auch */

Thomas.will: Die Seite wurde neu angelegt: „= tcpdump – Referenz = '''tcpdump''' schneidet Netzwerkverkehr mit und filtert ihn über '''BPF'''-Ausdrücke. Aufbau:
tcpdump [ OPTIONEN ] [ FILTER-…“

@@ Zeile 133: / Zeile 133: @@
 * [[Ss]]
 * [[Netcat Basics]]
 [[Kategorie:tcpdump]]
 [[Kategorie:Cybersecurity]]