← retour aux snippets

tcpdump: filtrer par flags TCP

Capturer uniquement SYN, FIN, RST ou d'autres combinaisons pour diagnostiquer des ouvertures/fermetures.

bash network #tcpdump#flags#pcap

objectif

Isoler des étapes du handshake et des resets sans bruit.

code minimal

sudo tcpdump -ni eth0 'tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack == 0'

utilisation

# RST uniquement
sudo tcpdump -ni any 'tcp[tcpflags] & tcp-rst != 0'

variante(s) utile(s)

# FIN ou RST
sudo tcpdump -ni any 'tcp[tcpflags] & (tcp-fin|tcp-rst) != 0'

notes

  • utilisez -vvv pour plus de détails.
  • combinez avec filtres host/port pour cibler.