1.tcpdump簡介
定義：tcpdump和Windows下的Wireshark一樣都是是數據包抓包工具，一個用於截取網絡分組，並輸出分組內容的工具。tcpdump憑藉強大的功能和靈活的截取策略，使其成爲Linux系統下用於網絡分析和問題排查的首選工具。
選項說明：
| -c | 指定要抓取的包數量。注意，是最終要獲取這麼多個包。例如，指定"-c 10"將獲取10個包，但可能已經處理了100個包，只不過只有10個包是滿足條件的包 |
| -i interface | 指定監聽的網卡，如果爲-i any則表示監聽所有的網卡 |
| -n | 對地址以數字方式顯式，否則顯式爲主機名，也就是說-n選項不做主機名解析。 |
| -nn | 除了-n的作用外，還把端口顯示爲數值，否則顯示端口服務名 |
| -N | 不打印出host的域名部分。例如tcpdump將會打印'nic'而不是'nic.ddn.mil' |
| -s snaplen | 設置tcpdump的數據包抓取長度 |
| -e | 輸出的每行中都將包括數據鏈路層頭部信息，例如源MAC和目標MAC。 |
| -q | 快速打印輸出。即打印很少的協議相關信息，從而輸出行都比較簡短。 |
| -X | 輸出包的頭部數據，會以16進制和ASCII兩種方式同時輸出。 |
| -XX | 輸出包的頭部數據，會以16進制和ASCII兩種方式同時輸出，更詳細 |
| -v，-vv，-vvv | 當分析和打印的時候，產生更多 |
| -D | 列出可用於抓包的接口。將會列出接口的數值編號和接口名，它們都可以用於"-i"後 |
| -w ./target.cap | 將監聽到的數據包寫入文件中保存爲cap文件，方便用ethereal(即wireshark)分析 |
2. 使用樣例
1) 抓取源目標IP的包: tcpdump -i 網卡 src host IP
# tcpdump -i ens33 src host 172.20.32.241 //-i 的作用是指定監聽哪個網卡
2) 抓取目標IP的包
# tcpdump -i ens33 dst host 172.20.34.22
3) 抓取指定端口的包
# tcpdump -i ens33 port 8500
4) 抓取Http協議包
# tcpdump -i ens33 tcp[20:2]=0x4745 or tcp[20:2]=0x4854 and dst host 172.20.34.22 -w ./data`date +%s`.pcap
說明：
tcp[20:2]=0x4745 or tcp[20:2]=0x4854：只抓取http的GET和POST包
-w：寫入指定文件
