1.tcpdump简介
定义：tcpdump和Windows下的Wireshark一样都是是数据包抓包工具，一个用于截取网络分组，并输出分组内容的工具。tcpdump凭借强大的功能和灵活的截取策略，使其成为Linux系统下用于网络分析和问题排查的首选工具。
选项说明：
| -c | 指定要抓取的包数量。注意，是最终要获取这么多个包。例如，指定"-c 10"将获取10个包，但可能已经处理了100个包，只不过只有10个包是满足条件的包 |
| -i interface | 指定监听的网卡，如果为-i any则表示监听所有的网卡 |
| -n | 对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析。 |
| -nn | 除了-n的作用外，还把端口显示为数值，否则显示端口服务名 |
| -N | 不打印出host的域名部分。例如tcpdump将会打印'nic'而不是'nic.ddn.mil' |
| -s snaplen | 设置tcpdump的数据包抓取长度 |
| -e | 输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。 |
| -q | 快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。 |
| -X | 输出包的头部数据，会以16进制和ASCII两种方式同时输出。 |
| -XX | 输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细 |
| -v，-vv，-vvv | 当分析和打印的时候，产生更多 |
| -D | 列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们都可以用于"-i"后 |
| -w ./target.cap | 将监听到的数据包写入文件中保存为cap文件，方便用ethereal(即wireshark)分析 |
2. 使用样例
1) 抓取源目标IP的包: tcpdump -i 网卡 src host IP
# tcpdump -i ens33 src host 172.20.32.241 //-i 的作用是指定监听哪个网卡
2) 抓取目标IP的包
# tcpdump -i ens33 dst host 172.20.34.22
3) 抓取指定端口的包
# tcpdump -i ens33 port 8500
4) 抓取Http协议包
# tcpdump -i ens33 tcp[20:2]=0x4745 or tcp[20:2]=0x4854 and dst host 172.20.34.22 -w ./data`date +%s`.pcap
说明：
tcp[20:2]=0x4745 or tcp[20:2]=0x4854：只抓取http的GET和POST包
-w：写入指定文件
