Tcpdump — Capture réseau en CLI

Qu'est-ce que Tcpdump ?

Tcpdump est un outil de capture de paquets en ligne de commande, disponible sur presque tous les systèmes Unix. Plus léger que Wireshark, il est idéal sur des serveurs sans interface graphique. Les captures peuvent être sauvegardées en .pcap et analysées ensuite avec Wireshark.

Commandes de base

# Capturer tout le trafic sur eth0
tcpdump -i eth0

# Capturer et sauvegarder
tcpdump -i eth0 -w capture.pcap

# Lire un fichier
tcpdump -r capture.pcap

# Verbose (afficher le contenu)
tcpdump -i eth0 -A     # ASCII
tcpdump -i eth0 -X     # hex + ASCII

Filtres BPF

# Par hôte
tcpdump -i eth0 host 192.168.1.1

# Par port
tcpdump -i eth0 port 80
tcpdump -i eth0 port 80 or port 443

# Par protocole
tcpdump -i eth0 icmp
tcpdump -i eth0 udp

# Combiné
tcpdump -i eth0 src 10.0.0.1 and dst port 22

# Capturer les 100 premiers paquets
tcpdump -i eth0 -c 100 -w sample.pcap