tcpdump使用

默认启动，监听第一个网络接口所有的数据包

tcpdump

监听指定网络接口的数据包

tcpdump -i eth0

经过指定ip的所有数据包

tcpdump -i eth0 host 10.8.150.93 and 10.8.150.94

tcpdump -i eth0 not host 10.8.150.93

指定源/目的ip的数据包

tcpdump -i eth0 src host 10.8.150.93

tcpdump -i eth0 dst host 10.8.150.93

捕获tcp数据包

tcpdump -i eth0 tcp

捕获tcp指定端口的数据包

tcpdump -i eth0 tcp port 80

示例：

tcpdump -i eth0 tcp port 80 -t -s 0

tcpdump -i eth0 tcp port 80 -t -s 0 -l > dat & tail -f dat

tcpdump -i eth0 tcp port 80 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap

-t : 不显示时间戳

-s 0 : 默认抓取长度为68字节, -s 0抓取完整的数据包

-c 100 : 只抓取100个数据包

dst port ! 22 : 不抓取目标端口是22的数据包

src net 192.168.1.0/24 : 数据包的源网络地址为192.168.1.0/24

-w ./target.cap : 保存成cap文件，方便用ethereal(即wireshark)分析