맥에서 TCPDUMP로 패킷 캡쳐하기

맥에서 tcp 패킷 캡쳐가 필요한 경우 tcpdump 를 이용하면 된다.

우선 사용방법을 보면 아래와 같다.

$ tcpdump --help
tcpdump version tcpdump version 4.9.2 -- Apple version 83.50.1
libpcap version 1.8.1 -- Apple version 79.20.1
LibreSSL 2.2.7
Usage: tcpdump [-aAbdDefhHIJKlLnNOpqStuUvxX#] [ -B size ] [ -c count ]
            [ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
            [ -i interface ] [ -j tstamptype ] [ -M secret ] [ --number ]
            [ -Q in|out|inout ]
            [ -r file ] [ -s snaplen ] [ --time-stamp-precision precision ]
            [ --immediate-mode ] [ -T type ] [ --version ] [ -V file ]
            [ -w file ] [ -W filecount ] [ -y datalinktype ] [ -z postrotate-command ]
            [ -g ] [ -k ] [ -o ] [ -P ] [ -Q met[ --time-zone-offset offset ]
            [ -Z user ] [ expression ]

사용 예제 

sudo tcpdump -w ~/dump.pcap
Password:
tcpdump: data link type PKTAP
tcpdump: listening on pktap, link-type PKTAP (Apple DLT_PKTAP), capture size 262144 bytes
^C23 packets captured
23 packets received by filter
0 packets dropped by kernel

캡쳐된 파일은 wireshark 등을 이용해서 확인해 볼수 있다.