常用抓包命令

     tcpdump 必须使用 root 的身份执行  

[root@linux ~]# tcpdump [-nn] [-i 接口] [-w 储存档名] [-c 次数] [-Ae][-qX] [-r 档案] [所欲撷取的数据内容] 参数： 

-nn：直接以 IP 及 port number 显示，而非主机名与服务名称 

-i ：后面接要『监听』的网络接口，例如 eth0, lo, ppp0 等等的界面； 

-w ：如果你要将监听所得的封包数据储存下来，用这个参数就对了！后面接档名 -c ：监听的封包数，如果没有这个参数， tcpdump 会持续不断的监听，      直到使用者输入 [ctrl]-c 为止。 

-A ：封包的内容以 ASCII 显示，通常用来捉取 WWW 的网页封包资料。 -e ：使用资料连接层 (OSI 第二层) 的 MAC 封包数据来显示； -q ：仅列出较为简短的封包信息，每一行的内容比较精简 

-X ：可以列出十六进制 (hex) 以及 ASCII 的封包内容，对于监听封包内容很有用 -r ：从后面接的档案将封包数据读出来。那个『档案』是已经存在的档案，      并且这个『档案』是由 -w 所制作出来的。 

所欲撷取的数据内容：我们可以专门针对某些通讯协议或者是 IP 来源进行封包撷取，      那就可以简化输出的结果，并取得最有用的信息。常见的表示方法有：      'host foo', 'host 127.0.0.1' ：针对单部主机来进行封包撷取      'net 192.168' ：针对某个网域来进行封包的撷取； 

     'src host 127.0.0.1' 'dst net 192.168'：同时加上来源(src)或目标(dst)限制      'tcp port 21'：还可以针对通讯协议侦测，如 tcp, udp, arp, ether 等      还可以利用 and 与 or 来进行封包数据的整合显示呢

 

 

只监听80端口 

 [root@linux ~]# tcpdump -nn port 80

只监听一台主机 

 [root@linux ~]# tcpdump –nn host 121.9.240.130

监听端口

#tcpdump port 9995

3.2 指定保存抓包结果的文件 

tcpdump -i eth2 –w mstu2ether2.cap

3.3 抓完整的RTP包 

tcpdump -i eth2 –w mstu2ether2.cap –s 0 

“-s 0”指定抓的是完整的数据包，否则以64字节截断。对于MSTU上的RTP抓包，这个参数会保留所有TS数据包，故重要。