tcpdump 和wireshark的简单配合使用

预置条件：linux上已有tcpdump客户端并有可执行的权限

./tcpdump -i any -n port 8443 or host 192.168.4.5 -w test.pcap

该命令是 抓8443端口的数据包或者192.168.4.5的包并生成为pcap文件，可供wireshark 使用

-i 是网卡，any 是所有网卡，也可这样子指定只抓eth0 网卡的包 ./tcpdump -i eth0 -n port 8443 or host 192.168.4.5 -w eth0.pcap

-n 是把抓包的机子信息，转化数字

未加n的时候

加n的时候

后的port 和 host 都为条件，譬如有dst src 这样子的条件，条件可以根据实际情况去设置

-w 是指定生成文件

生成文件后，利用wireshark分析抓到的数据

文件直接导入后。wireshark的数据包分析，Filter功能是最离不开的~

经常用到的过滤条件：

tcp.port 指定tcp协议，并指定是哪个端口的数据包，然后 可以多个条件 or and 等条件

譬如 该过滤条件：

tcp.flags.ack == 1 and tcp.port == 8045 

tcp.flags.ack==1 指定 数据包包含ack 标志

tcp.flags.fin == 1  数据包包含fin 标志

在 wireshark中有 Expression 中 所有可用的过滤条件都在里面，可根据实际要求去查看，如果看不懂，请补充一下tcp 的三次握手和四次挥手以及数据包的传送

然后还有给比较重要常用的功能follow tcp stream 

另外补充三次握手和四次挥手的详解链接：

https://www.cnblogs.com/thrillerz/p/6464203.html

如果其他的内容下次补充