tcpdump使用

#默认启动，监听第一个网络接口所有的数据包
tcpdump

#监听指定网络接口的数据包
tcpdump -i eth0

#经过指定ip的所有数据包
tcpdump -i eth0 host 10.8.150.93 and 10.8.150.94
tcpdump -i eth0 not host 10.8.150.93

#指定源/目的ip的数据包
tcpdump -i eth0 src host 10.8.150.93
tcpdump -i eth0 dst host 10.8.150.93

#捕获tcp数据包
tcpdump -i eth0 tcp

#捕获tcp指定端口的数据包
tcpdump -i eth0 tcp port 80

#示例：
tcpdump -i eth0 tcp port 80 -t -s 0
tcpdump -i eth0 tcp port 80 -t -s 0 -l > dat & tail -f dat

tcpdump -i eth0 tcp port 80 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap
#    -t : 不显示时间戳
#    -s 0 : 默认抓取长度为68字节, -s 0抓取完整的数据包
#    -c 100 : 只抓取100个数据包
#    dst port ! 22 : 不抓取目标端口是22的数据包
#    src net 192.168.1.0/24 : 数据包的源网络地址为192.168.1.0/24
#    -w ./target.cap : 保存成cap文件，方便用ethereal(即wireshark)分析