NodeJS中无法通过child_process.spawn读取tcpdump二进制输出的问题

看起来你已经排查了不少关键细节（加了-U参数、用strace确认输出、用另一个tcpdump能正常接收数据），问题其实出在对二进制pcap数据的处理方式上，下面给你详细分析和解决方案：

问题根源 #

你当前的代码里把收到的data直接用toString()转换，但tcpdump通过-w -输出的是二进制pcap格式数据，不是文本流。默认的toString()会把Buffer按UTF-8编码转成字符串，这会导致二进制数据被错误解析成乱码，看起来像是没读到有效内容，但实际上Node.js已经收到了数据。

另外，虽然你加了-U参数（强制tcpdump实时flush输出，避免内核缓冲），但转字符串的操作还是会掩盖真实的数据。

正确的处理方式 #

1. 直接处理二进制Buffer #

不要把收到的数据转成字符串，直接操作Buffer即可。比如你可以打印数据长度，或者保存为pcap文件方便后续用Wireshark查看：

const { spawn } = require('child_process');
const fs = require('fs');

// 启动tcpdump，-U确保实时输出，-w -指定输出到stdout，替换eth0为你的网卡
const tcpdump = spawn('tcpdump', ['-w', '-', '-U', '-i', 'eth0']);

// 监听stdout的data事件，拿到原始二进制Buffer
tcpdump.stdout.on('data', (rawPcapData) => {
  console.log(`收到 ${rawPcapData.length} 字节的pcap二进制数据`);
  // 可选：将数据追加写入本地pcap文件
  fs.appendFileSync('capture.pcap', rawPcapData);
});

// 处理tcpdump的错误输出
tcpdump.stderr.on('data', (errBuf) => {
  console.error(`tcpdump错误信息: ${errBuf.toString()}`);
});

// 监听进程退出事件
tcpdump.on('close', (exitCode) => {
  console.log(`tcpdump进程退出，退出码: ${exitCode}`);
});

2. 管道到另一个tcpdump进程解析（验证用） #

如果你想直接看到解析后的文本包信息，可以把第一个tcpdump的stdout直接pipe到第二个tcpdump -r -的stdin，就像你手动测试的那样：

const { spawn } = require('child_process');

const captureProc = spawn('tcpdump', ['-w', '-', '-U', '-i', 'eth0']);
const parseProc = spawn('tcpdump', ['-r', '-', '-n']); // -n禁用域名解析，输出更简洁

// 将捕获进程的输出管道到解析进程的输入
captureProc.stdout.pipe(parseProc.stdin);

// 打印解析后的包文本
parseProc.stdout.on('data', (textData) => {
  console.log(textData.toString());
});

// 处理两个进程的错误信息
captureProc.stderr.on('data', (err) => console.error(`捕获进程错误: ${err.toString()}`));
parseProc.stderr.on('data', (err) => console.error(`解析进程错误: ${err.toString()}`));

3. 用Node.js库直接解析pcap数据 #

如果需要在代码中直接解析这些二进制pcap数据，可以用专门的npm包，比如pcap：

npm install pcap

示例代码：

const { spawn } = require('child_process');
const pcap = require('pcap');

const tcpdump = spawn('tcpdump', ['-w', '-', '-U', '-i', 'eth0']);
// 创建pcap解析器实例
const pcapParser = new pcap.PcapParser();

// 将tcpdump的输出传给解析器
tcpdump.stdout.pipe(pcapParser);

// 监听解析出来的数据包
pcapParser.on('packet', (packet) => {
  console.log('解析到数据包:', packet);
  // 可以进一步解析IP/TCP/UDP等协议的具体内容
});

额外注意事项 #

• 确保tcpdump有足够权限：默认情况下，tcpdump需要root权限才能捕获数据包，你可以用sudo运行Node.js脚本，或者给tcpdump添加cap_net_raw权限（sudo setcap cap_net_raw,cap_net_admin=eip /usr/sbin/tcpdump）
• 不要随意修改二进制数据的编码：保持stdout的默认模式（不指定encoding参数），这样拿到的就是原始Buffer，不会丢失数据

内容的提问来源于stack exchange，提问作者Pixy