简介
tcpdump 是一款在 Linux 平台上广泛使用的网络抓包工具。它可以捕获整个 TCP/IP 协议族的数据包，并支持对网络层、协议、主机、端口等进行过滤。tcpdump 提供了强大的过滤功能，允许使用 and、or、not 等逻辑语句来筛选数据包，非常适合用于网络故障分析和安全监控。
安装 tcpdump
在大多数 Linux 发行版上，可以使用包管理器安装 tcpdump。例如，在基于 Debian 的系统上：
sudo apt-get install tcpdump
在基于 Red Hat 的系统上：
sudo yum install tcpdump
tcpdump 命令选项
tcpdump 有很多命令选项，可以通过 tcpdump -h 或 man tcpdump 查看所有选项的详细说明。以下是一些常用的选项：
-i interface：指定网络接口。-w file：将捕获的数据包写入文件。-r file：从文件中读取数据包。-s snaplen：设置每个包的抓取长度，默认为68字节。-c count：指定捕获数据包的数量。-A：以ASCII码方式显示每个数据包的内容。-X：同时以十六进制和ASCII码显示数据包内容。
基本使用
捕获所有接口的流量
sudo tcpdump -i any -w capture.pcap
-i any表示监听所有网络接口。-w capture.pcap表示将捕获的数据保存到capture.pcap文件中。
捕获特定接口的流量
sudo tcpdump -i eth0 -w capture.pcap
捕获特定端口的数据包
sudo tcpdump -i eth0 port 80 -w capture.pcap
实时查看抓包数据
如果希望在抓包过程中实时查看数据，可以不使用 -w 选项，而是直接在终端输出：
sudo tcpdump -i eth0
高级过滤
tcpdump 支持复杂的过滤规则，例如：
- 捕获特定主机的数据包：
tcpdump host 192.168.1.1
- 捕获两个特定主机之间的数据包：
tcpdump host 192.168.1.1 and 192.168.1.2
- 捕获特定协议的数据包：
tcpdump tcp
- 捕获特定源端口或目的端口的数据包：
tcpdump portrange 1-1024
tcpdump 与 Wireshark
Wireshark 是一个图形界面的网络协议分析工具，可以与 tcpdump 结合使用。在 Linux 中使用 tcpdump 抓包，然后在 Windows 中使用 Wireshark 进行分析。保存数据包为 Wireshark 能识别的文件：
tcpdump tcp -i eth1 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap
-t：不显示时间戳。-s 0：抓取完整的数据包。-c 100：捕获100个数据包。-w ./target.cap：将数据包写入target.cap文件中。
通过上述教程，你应该能够掌握 tcpdump 的基本使用和一些高级功能，以便在 Linux 系统中进行网络数据包的捕获和分析。