tcpdump

要用tcpdump抓包，请记住，一定要切换到root账户下，因为只有root才有权限将网卡变更为“混杂模式”。

tcpdump

         -i 网卡
         -c 抓包数
         -t 不输出时间戳
         -v 输出更多信息
         -w 把截获的包存到文件中
过滤条件
          'udp tcp'
          'src ip'
          'dst ip
          'src/dst port'
          'host'

tcpdump -i eth0 -nn -X ‘port 53′ -c 1

-i选项：
是interface的含义，是指我们有义务告诉tcpdump希望他去监听哪一个网卡。这在我们一台服务器有多块网卡时很有必要。

-nn选项：
意思是说当tcpdump遇到协议号或端口号时，不要将这些号码转换成对应的协议名称或端口名称。比如，众所周知21端口是FTP端口，我们希望显示21，而非tcpdump自作聪明的将它显示成FTP。

-X选项：
告诉tcpdump命令，需要把协议头和包内容都原原本本的显示出来（tcpdump会以16进制和ASCII的形式显示），这在进行协议分析时是绝对的利器。

‘port 53′：
这是告诉tcpdump不要看到啥就显示啥。我们只关心源端口或目的端口是53的数据包，其他的数据包别给我显示出来。

-c选项：
是Count的含义，这设置了我们希望tcpdump帮我们抓几个包。我设置的是1，所以tcpdump不会帮我再多抓哪怕一个包回来。

tcpdump -i eth0 -c 10

在网卡eth0上抓10个包

tcpdump -i eth0 -c 10 -t

抓10个包，并且不输出时间戳

tcpdump -i eth0 -c 1 -v

输出更多详细信息

tcpdump -i eth0 -w flowdata

把抓到得包保存到文件中，但内容是二进制，不可读，可用下面的命令

tcpdump -r flowdata

tcpdump -i eth0 -c 10 'udp'

只扑捉UDP包，也可以改为 ether、ip、ip6、arp、tcp、rarp等

tcpdump -i eth0 'dst 8.8.8.8'
tcpdump -i eth0 'dst 8.8.8.8 and src 10.1.1.1'
tcpdump -i eth0 -c 3 'dst port 53 or dst port 80'

我们可以设置过滤类型，上面例子中我们使用了port这个类型，就是来指定端口。当然，tcpdump还支持如下的类型：
1 host：指定主机名或IP地址，例如’host roclinux’或’host 202.112.18.34′
2 net ：指定网络段，例如’arp net 128.3′或’dst net 128.3′
3 portrange：指定端口区域，例如’src or dst portrange 6000-6008′

tcpdump -i eth0 'host roclinux.cn'
tcpdump -i eth0 'host roclinux.cn and (baidu.com or qiyi.com)'

1. 抓到那些通过eth0网卡的，且来源是roclinux.cn服务器或者目标是roclinux.cn服务器的网络包
2. 抓通过eth0网卡的，且roclinux.cn和baidu.com之间通讯的网络包，或者，roclinux.cn和qiyi.com之间通讯的网络包

用Tcpdump进行抓包时，没有用-s参数指定抓取数据的长度，采用了默认长度为68或96字节；-s0则表示没有长度的限制。