tcpdump命令格式
tcpdump option filter
filter 是过滤包的条件，可以使用not，or，and进行组合 。windows下用wireshark
命令需要root身份执行。
选项：
-i 指定网卡接口，-i any 监听所有端口，不指定表示数字最小的网卡接口
-n 显示ip，不显示域名
-N 不打印主机的域名部分. 比如, 如果设置了此选现, tcpdump 将会打印'tieba' 而不是 'tieba.baidu.com'
-w - |strings 把包数据用字符展示出来，-w a.cap 把抓包结果写入a.cap中，
-C 1 如果a.cap 超过1M 大小，则新开一个文件， －C fileSize , 单位是MB
-r 从某个文件读取， -r a.cap
-X 以十六进制以及ASCII的形式打印数据内容
-x 除了打印出header外，还打印packet里面的数据(十六进制的形式)
-xx 以十六进制的形式打印header, data内容
－A 把每一个packet都用以ASCII的形式打印出来
-c 100 表示抓100个包
-D 查看机器上有哪些网络接口
-e 把连接层的头打印出来
-j timestamp type 修改输出的时间格式
-J 显示支持的时间格式
-l |tee dump.log tee是一个命令，在屏幕上显示dump内容，并把内容输出到dump.log中 ,tcpdump -l > dump.log
-q 就是quiet output, 尽量少的打印一些信息
-S 打印真实的，绝对的tcp seq no
-s 256 指定抓包文件的大小,默认抓取包长度是65535，单位是字节
-t 不要打时间戳
-tt 打出timstamp,从1970-1-1 以来的秒数，以及微秒数
-v 打印出详细结果
-vv 打印出更加详细的结果
一、基本语法
1.1、过滤主机
tcpdump -i eth1 host 192.168.1.1
tcpdump -i eth1 src host 192.168.1.1
tcpdump -i eth1 dst host 192.168.1.1
1.2、过滤端口
tcpdump -i eth1 port 25
tcpdump -i eth1 src port 25
tcpdump -i eth1 dst port 25
1.3、网络过滤
tcpdump -i eth1 net 192.168
tcpdump -i eth1 src net 192.168
tcpdump -i eth1 dst net 192.168
1.4、协议过滤
tcpdump -i eth1 arp
tcpdump -i eth1 ip
tcpdump -i eth1 tcp
tcpdump -i eth1 udp
tcpdump -i eth1 icmp
1.5、常用表达式
非 : ! or "not" (去掉双引号)
且 : && or "and"
或 : || or "or"
抓取所有经过eth1，目的地址是192.168.1.254或192.168.1.200端口是80的TCP数据
tcpdump -i eth1 '((tcp) and (port 80) and ((dst host 192.168.1.254) or (dst host 192.168.1.200)))'
抓取所有经过eth1，目标MAC地址是00:01:02:03:04:05的ICMP数据
tcpdump -i eth1 '((icmp) and ((ether dst host 00:01:02:03:04:05)))'
抓取所有经过eth1，目的网络是192.168，但目的主机不是192.168.1.200的TCP数据
tcpdump -i eth1 '((tcp) and ((dst net 192.168) and (not dst host 192.168.1.200)))'
使用tcpdump抓取HTTP包
tcpdump -XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854
0x4745 为"GET"前两个字母"GE",0x4854 为"HTTP"前两个字母"HT"。
tcpdump tcp port 80 -n -X -s 0 指定80端口进行输出