tcpdump快速抓包的常用命令

如果我们需要快速抓包，可以使用以下命令，前提是服务器的数据流量不大

tcpdump -i any -vvv -w test.cap

这个命令表示抓取服务器所有网卡的包并保存到test.cap文件中

-i 选项表示制定网卡，如eth0

-vvv 表示输出数据很详细的信息。

host 抓指定主机的包

-X 把协议头和包的内容都按原样显示出来

-a 将网络地址和广播地址转变成名字

-A 以ascii码格式输出

-n 将每个监听到的数据包中的域名转换成IP地址后显示，不要把网络地址转换成名字。

-w 将抓的包保存到指定的文件中

-r 读取指定的已经抓取到的包中的内容

-c 指定抓取的包的数量

-t 不打印时间戳

src 表示源地址

dst表示目的地址

port 指定端口号

tcp[tcpflags] 可以抓指定的tcp协议的flag的包，如ACK,SYN等

例如：tcpdump -i ens33 'tcp[tcpflags] = tcp-syn'

表示抓取syn包

抓取目的端口是22的包