一些常见用法:
想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信:
tcpdump host 210.27.48.1 and \(210.27.48.2 or 210.27.48.3 \)
想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包
tcpdump ip host 210.27.48.1 and ! 210.27.48.2
协议分析包的每个字节时,一般用到-X参数(打印包的每个字节), -s参数(0表示不截断每个包),-w(写入到后面所指文件中,可以在windows下用wireshark分析)
tcpdump -s 0 -nX host 172.27.193.234 -i eth1 -w packets.cap
捕抓带TCP或UDP协议的9080~9088端口的数据包
tcpdump portrange 9080-9088
打印链路层的信息(看MAC地址有用)
tcpdump -e host 200.30.10.11