我們先通過幾個簡單的示例來介紹 tcpdump 基本用法。

1. 不加任何參數(shù)，默認情況下將抓取第一個非 lo 網(wǎng)卡上所有的數(shù)據(jù)包

$tcpdump

2. 抓取 eth0 網(wǎng)卡上的所有數(shù)據(jù)包

$tcpdump-ieth0

3. 抓包時指定 -n 選項，不解析主機和端口名。這個參數(shù)很關(guān)鍵，會影響抓包的性能，一般抓包時都需要指定該選項。

$tcpdump-n-ieth0

4. 抓取指定主機 192.168.1.100 的所有數(shù)據(jù)包

$tcpdump-nieth0host192.168.1.100

5. 抓取指定主機 10.1.1.2 發(fā)送的數(shù)據(jù)包

$tcpdump-nieth0srchost10.1.1.2

6. 抓取發(fā)送給 10.1.1.2 的所有數(shù)據(jù)包

$tcpdump-nieth0dsthost10.1.1.2

7. 抓取 eth0 網(wǎng)卡上發(fā)往指定主機的數(shù)據(jù)包，抓到 10 個包就停止，這個參數(shù)也比較常用

$tcpdump-nieth0-c10dsthost192.168.1.200

8. 抓取 eth0 網(wǎng)卡上所有 SSH 請求數(shù)據(jù)包，SSH 默認端口是 22

$tcpdump-nieth0dstport22

9. 抓取 eth0 網(wǎng)卡上 5 個 ping 數(shù)據(jù)包

$tcpdump-nieth0-c5icmp

10. 抓取 eth0 網(wǎng)卡上所有的 arp 數(shù)據(jù)包

$tcpdump-nieth0arp

11. 使用十六進制輸出，當你想檢查數(shù)據(jù)包內(nèi)容是否有問題時，十六進制輸出會很有幫助。

$tcpdump-nieth0-c1arp-X

listeningoneth0,link-typeEN10MB(Ethernet),capturesize262144bytes

12:13:31.602995ARP,Requestwho-has172.17.92.133tell172.17.95.253,length28

0x0000:0001080006040001eeffffffffffac11................

0x0010:5ffd000000000000ac115c85_..........

12. 只抓取 eth0 網(wǎng)卡上 IPv6 的流量

$tcpdump-nieth0ip6

13. 抓取指定端口范圍的流量

$tcpdump-nieth0portrange80-9000

14. 抓取指定網(wǎng)段的流量

$tcpdump-nieth0net192.168.1.0/24