轉自：http://www.2cto.com/os/201202/120561.html
-
linux下的抓包工具tcpdump
這篇講linux下的抓包工具。
抓包工具比較好用的有兩個，一個是snort，一個是tcpdump，這次不說snort了，覺得這個工具雖然很強大，但是比較複雜，還是tcpdump比較簡單。tcpdump windows、linux版本均有。linux版本可以在以下網站下載：www.tcpdump.org.
安裝好tcpdump之後，運行tcpdump：
1. tcpdump -D 獲取網絡適配器列表，以下是在windows上獲取到的結果：
1.\Device\PssdkLoopback (PSSDK Loopback Ethernet Emulation Adapter)
2.\Device\{CF587901-C85F-4FD6-896F-D977DEFE76EC} (Intel(R) PRO/100 VE Network Co
nnection)
2. tcpdump -i <需要監控的網絡適配器編號>，例如我想監控lo(127.0.0.1)，即上面列表中的1.\Device\PssdkLoopback: （windows上特有的，linux不適用）
tcpdump -i 1
如果不使用-i來定義監控適配器的話，默認使用列表中的第一個；
3. 監控主機爲192.9.200.59上8000端口的tcp協議：
tcpdump host 192.9.200.59 and tcp port 8000
4. 如果想要顯示數據包的內容，需要使用-X參數，如，我想要顯示捕獲的http數據包http header的內容：
tcpdump -X host 192.9.200.59 and tcp port 8000
顯示結果如下：
22:13:19.717472 IP testhost59.12535 > liujuan59.8000: . 1:330(329) ack 1 win 327
8
0x0000: 4500 0171 e616 0000 8006 cb2b 0000 0000 E..q.......+....
0x0010: c009 c83b 30f7 1f40 0000 0002 0000 0002 ...;0..@........
0x0020: 5010 8000 b066 0000 504f 5354 202f 2048 P....f..POST./.H
0x0030: 5454 502f 312e 310d 0a43 6f6e 7465 6e74 TTP/1.1..Content
0x0040: 2d54 7970 653a 2074 6578 742f 786d 6c3b -Type:.text/xml;
0x0050: 2063 .c
可以看到該結果只顯示了http頭的一部分，沒有顯示全，是因爲tcpdump默認將顯示的數據長度截斷了，可以使用-s後面加數據長度，來設置數據顯示長度：
tcpdump -X -s 0 host 192.9.200.59 and tcp port 8000
以上的例子中，-s 0 表示自動設置長度使其能夠顯示所有數據。
5. 捕獲的數據太多，不斷刷屏，可能需要將數據內容記錄到文件裏，需要使用-w參數：
tcpdump -X -s 0 -w aaa host 192.9.200.59 and tcp port 8000
則將之前顯示在屏幕中的內容，寫入tcpdump可執行文件同級目錄下的aaa文件中。
文件查看方式如下，需要使用-r參數：
tcpdump -X -s 0 -r aaa host 192.9.200.59 and tcp port 8000
如果這樣寫：
tcpdump -r aaa
則只能看到最簡單的數據傳輸交互過程，看不到數據包內容，查看時也需要使用相應的參數。
6.總結
總結一下，tcpdump的參數分兩個部分，選項（Options）和表達式（expression）：
tcpdump[-adeflnNOpqRStuvxX] [-ccount]
[-Cfile_size] [-Ffile]
[-iinterface] [-mmodule] [-rfile]
[-ssnaplen] [-Ttype] [-wfile]
[-Ealgo:secret] [expression]
摘自 fallenleaves