debian dumpcap怎么使用

在 Debian 系统上，dumpcap 是 Wireshark 套件里用于抓包的核心命令行工具（Wireshark 的 GUI 实际上也是调用 dumpcap）。它通常用来高速、低开销地抓取网络数据包，并保存为 .pcap / .pcapng 文件。

下面从 安装 → 权限 → 基本用法 → 常见示例 → 参数说明 逐步说明。

一、安装 dumpcap（Debian）

sudo apt update
sudo apt install wireshark-common

⚠️ 安装时可能会问：

Should non-superusers be able to capture packets? 选 Yes（允许普通用户抓包）

如果你已经装过 wireshark：

sudo apt install dumpcap

二、确认 dumpcap 位置

which dumpcap
# 通常在 /usr/bin/dumpcap 或 /usr/sbin/dumpcap

三、权限问题（非常重要）

方法 1：直接用 root（简单但不推荐）

sudo dumpcap

方法 2：使用 wireshark 组（推荐）

sudo usermod -aG wireshark $USER

然后 注销并重新登录。

检查：

groups

四、dumpcap 基本用法

1️⃣ 查看可用网卡

dumpcap -D

或

dumpcap --list-interfaces

示例输出：

1. eth0
2. lo
3. wlan0

2️⃣ 抓取 eth0 并保存为文件

sudo dumpcap -i eth0 -w capture.pcapng

-i eth0：指定网卡
-w：写入文件
默认格式是 pcapng

3️⃣ 限制抓包数量

sudo dumpcap -i eth0 -c 100 -w test.pcap

抓 100 个包后自动停止。

4️⃣ 限制抓包时间

sudo dumpcap -i eth0 -a duration:60 -w test.pcap

抓 60 秒。

5️⃣ 按文件大小轮转（非常适合长期抓包）

sudo dumpcap -i eth0 \
  -w /var/log/cap_%Y%m%d_%H%M%S.pcapng \
  -b filesize:100000 \
  -b files:10

含义：

每个文件最多 100 MB
最多保留 10 个文件（自动覆盖旧文件）

6️⃣ 捕获指定端口（如 80）

⚠️ dumpcap 本身不支持 BPF 过滤语法之外的复杂过滤，但通常可以：

sudo dumpcap -i eth0 -f "tcp port 80" -w http.pcap

BPF 过滤器示例：

host 192.168.1.1
net 10.0.0.0/8
tcp port 443
udp and port 53

五、dumpcap vs tcpdump vs tshark

工具	用途
dumpcap	高性能抓包（Wireshark 底层）
tcpdump	轻量命令行抓包
tshark	Wireshark 命令行分析

常见组合：

dumpcap -i eth0 -w cap.pcapng
tshark -r cap.pcapng

六、停止抓包

如果是前台运行：

Ctrl + C

七、常见问题

❌ 权限不足

Couldn't run /usr/bin/dumpcap in child process

✅ 解决：

sudo usermod -aG wireshark $USER

或：

sudo dumpcap ...

❌ 没有网卡

dumpcap -D

为空 → 检查是否容器环境（Docker 需 --network host 或 CAP_NET_RAW）

八、典型实战示例

抓取线上服务器 5 分钟流量

sudo dumpcap -i eth0 -a duration:300 -w server.pcapng

抓 DNS 流量

sudo dumpcap -i any -f "udp port 53" -w dns.pcap

多网卡抓包

sudo dumpcap -i eth0 -i eth1 -w multi.pcapng

如果你愿意，可以告诉我：

你是 服务器 / 容器 / 桌面
想抓 什么协议 / 什么问题
是否要给 Wireshark 分析

我可以直接给你一条可复制的命令。