抓包儲存到檔案，抓下來的檔案可以直接用ethereal或者wireshark開啟。
-w ***.pcap
抓eth1的包
tcpdump -i eth1 -w /tmp/***.pcap
抓192.168.1.123的包
tcpdump -i eth1 host 192.168.1.123 -w /tmp/***.pcap
抓192.168.1.123的80埠的包
tcpdump -i eth1 host 192.168.1.123 and port 80 -w /tmp/***.pcap
抓192.168.1.123的icmp的包
tcpdump -i eth1 host 192.168.1.123 and icmp -w /tmp/***.pcap
抓192.168.1.123的80埠和110和25以外的其他埠的包
tcpdump -i eth1 host 192.168.1.123 and ! port 80 and ! port 25 and ! port 110 -w /tmp/***.pcap
抓vlan 1的包
tcpdump -i eth1 port 80 and vlan 1 -w /tmp/***.pcap
抓pppoe的包
tcpdump -i eth1 pppoes -w /tmp/***.pcap
以100m大小分割儲存檔案，超過100m另開乙個檔案（引數為大寫c）
tcpdump -i eth1 -c 100 -w /tmp/***.pcap
儲存檔案總數為100個，超過則迴圈覆寫（w一般配合c使用）
tcpdump -i eth1 -c 100 -w 100 -w /tmp/***.pcap
抓10000個包後退出（引數為小寫c）
tcpdump -i eth1 -c 10000 -w /tmp/***.pcap
後台抓包，控制台退出也不會影響：
nohup tcpdump -i eth1 port 110 -w /tmp/***.pcap &
抓取eth1包，每個檔案200m，檔案數量控制在100個，資料超出檔案容量則進行覆寫
tcpdump -i eth1 -c 200 -w 100 -w /tmp/eth1.pcap &
抓取所有經過 eth1，目的或源位址是 192.168.1.1 的網路資料
tcpdump -i eth1 host 192.168.1.1
源位址tcpdump -i eth1 src host 192.168.1.1
目的位址
tcpdump -i eth1 dst host 192.168.1.1
--------
抓取所有經過 eth1，目的或源埠是 25 的網路資料
tcpdump -i eth1 port 25
源埠tcpdump -i eth1 src port 25
目的埠
tcpdump -i eth1 dst port 25網路過濾
--------
tcpdump -i eth1 net 192.168
tcpdump -i eth1 src net 192.168
tcpdump -i eth1 dst net 192.168
--------
協議過濾
tcpdump -i eth1 arp
tcpdump -i eth1 ip
tcpdump -i eth1 tcp
tcpdump -i eth1 udp
tcpdump -i eth1 icmp
----------
常用表示式
非 : ! or "not" (去掉雙引號)
且 : && or "and"
或 : || or "or"
抓取所有經過 eth1，目的位址是 192.168.1.254 或 192.168.1.200 埠是 80 的 tcp 資料
tcpdump -i eth1 '((tcp) and (port 80) and ((dst host 192.168.1.254) or (dst host 192.168.1.200)))'
抓取所有經過 eth1，目標 mac 位址是 00:01:02:03:04:05 的 icmp 資料
tcpdump -i eth1 '((icmp) and ((ether dst host 00:01:02:03:04:05)))'
抓取所有經過 eth1，目的網路是 192.168，但目的主機不是 192.168.1.200 的 tcp 資料
tcpdump -i eth1 '((tcp) and ((dst net 192.168) and (not dst host 192.168.1.200)))'
只抓 syn 包
tcpdump -i eth1 'tcp[tcpflags] = tcp-syn'
抓 syn, ack
tcpdump -i eth1 'tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack != 0'
----------
抓 smtp 資料
# tcpdump -i eth1 '((port 25) and (tcp[(tcp[12]>>2):4] = 0x4d41494c))'
抓取資料區開始為"mail"的包，"mail"的十六進製制為 0x4d41494c。
--------------
抓 http get 資料
# tcpdump -i eth1 'tcp[(tcp[12]>>2):4] = 0x47455420'
"get "的十六進製制是 47455420
---------
抓 ssh 返回
# tcpdump -i eth1 'tcp[(tcp[12]>>2):4] = 0x5353482d'
"ssh-"的十六進製制是 0x5353482d
---------
抓老版本的 ssh 返回資訊，如"ssh-1.99.."
# tcpdump -i eth1 '(tcp[(tcp[12]>>2):4] = 0x5353482d) and (tcp[((tcp[12]>>2)+4):2] = 0x312e)'
---------
抓 dns 請求資料
# tcpdump -i eth1 udp dst port 53
---------
實時抓取埠號8000的get包，然後寫入get.log
tcpdump -i eth0 '((port 8000) and (tcp[(tcp[12]>>2):4]=0x47455420))' -nnal -w /tmp/get.log
---------
-c 引數對於運維人員來說也比較常用，因為流量比較大的伺服器，靠人工 ctrl+c 還是抓的太多，於是可以用-c 引數指定抓多少個包。
下面的命令計算抓 10000 個 syn 包花費多少時間，可以判斷訪問量大概是多少。
# time tcpdump -nn -i eth0 'tcp[tcpflags] = tcp-syn' -c 10000 > /dev/null
tcpdump本機抓包
在進行網路測試 的時候,我們經常需要進行抓包的工作,當然有許多測試 工具可以使用,比如sniffer,ethreal等.但最為方便和簡單得就非tcpdump莫屬.linux的發行版裡基本都包括了這個工具.tcpdump將網路介面設定成混雜模式以便捕獲到達的每乙個資料報.下面給出tcpdump的部分常...
TCPdump抓包命令
tcpdump抓包命令 tcpdump是乙個用於擷取網路分組，並輸出分組內容的工具。tcpdump憑藉強大的功能和靈活的擷取策略，使其成為類unix系統下用於網路分析和問題排查的首選工具。選項介紹 a 以ascii格式列印出所有分組，並將鏈路層的頭最小化。c 在收到指定的數量的分組後，tcpdump...
tcpdump抓包例項
ip過濾 tcpdump i eth1 host 192.168.1.1 tcpdump i eth1 src host 192.168.1.1 tcpdump i eth1 dst host 192.168.1.1 埠過濾 tcpdump i eth1 port 25 tcpdump i eth1...