一、命令概述

tcpdump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。

二、命令参数

-A 以ASCII格式打印出所有分组，并将链路层的头最小化。

-c 在收到指定的数量的分组后，tcpdump就会停止。

-C 在将一个原始分组写入文件之前，检查文件当前的大小是否超过了参数file_size 中指定的大小。如果超过了指定大小，则关闭当前文件，然后在打开一个新的文件。参数 file_size 的单位是兆字节（是1,000,000字节，而不是1,048,576字节）。

-d 将匹配信息包的代码以人们能够理解的汇编格式给出。

-dd 将匹配信息包的代码以c语言程序段的格式给出。

-ddd 将匹配信息包的代码以十进制的形式给出。

-D 打印出系统中所有可以用tcpdump截包的网络接口。

-e 在输出行打印出数据链路层的头部信息。

-E 用spi@ipaddr algo:secret解密那些以addr作为地址，并且包含了安全参数索引值spi的IPsec ESP分组。

-f 将外部的Internet地址以数字的形式打印出来。

-F 从指定的文件中读取表达式，忽略命令行中给出的表达式。

-i 指定监听的网络接口。

-l 使标准输出变为缓冲行形式，可以把数据导出到文件。

-L 列出网络接口的已知数据链路。

-m 从文件module中导入SMI MIB模块定义。该参数可以被使用多次，以导入多个MIB模块。

-M 如果tcp报文中存在TCP-MD5选项，则需要用secret作为共享的验证码用于验证TCP-MD5选选项摘要（详情可参考RFC 2385）。

-b 在数据-链路层上选择协议，包括ip、arp、rarp、ipx都是这一层的。

-n 不把网络地址转换成名字。

-nn 不进行端口名称的转换。

-N 不输出主机名中的域名部分。例如，‘nic.ddn.mil‘只输出’nic‘。

-t 在输出的每一行不打印时间戳。

-O 不运行分组分组匹配（packet-matching）代码优化程序。

-P 不将网络接口设置成混杂模式。

-q 快速输出。只输出较少的协议信息。

-r 从指定的文件中读取包(这些包一般通过-w选项产生)。

-S 将tcp的序列号以绝对值形式输出，而不是相对值。

-s 从每个分组中读取最开始的snaplen个字节，而不是默认的68个字节。

-T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc远程过程调用）和snmp（简单网络管理协议；）。

-t 不在每一行中输出时间戳。

-tt 在每一行中输出非格式化的时间戳。

-ttt 输出本行和前面一行之间的时间差。

-tttt 在每一行中输出由date处理的默认格式的时间戳。

-u 输出未解码的NFS句柄。

-v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息。

-vv 输出详细的报文信息。

-w 直接将分组写入文件中，而不是不分析并打印出来。

三、命令表达式

第一种是关于类型的关键字，主要包括host，net，port

host   119.124.35.16   表示过滤IP为119.124.35.16的所有数据包

net     192.168.0.0/24 表示过滤192.168.0.0/24，即包含这整个24位子网所有IP的数据包

port    22        表示过滤经过22端口的数据包

默认表达式为：host

第二种是确定传输方向的关键字，主要包括src，dst，dst or src，dst and src

src    119.124.35.16      表示输出IP包中来源IP为119.124.35.16的数据包(入包)

dst    119.124.35.16      表示输出IP包中目的IP为119.124.35.16的数据包(出包)

默认为：dst or src  即同时输出来源、目的的数据包

第三种是协议的关键字，主要包括fddi，ip，arp，rarp，tcp，udp

tcpdump tcp

不同协议类型关键字指输出对应类型的数据包，默认输出所有类型数据包

四、示例

tcpdump host 119.248.37.12

所有来自IP：119.248.37.12的来源或出站数据包都将进行抓取，输出至控制台

tcpdump  src host 119.248.37.12

抓取所有来自IP：119.248.37.12的来源数据包，输出至控制台

tcpdump  dst host 119.248.37.12

抓取所有访问IP：119.248.37.12的出站数据包，输出至控制台

tcpdump port 22

抓取所有访问22端口的数据包，输出至控制台(入、出站数据)

tcpdump tcp port 22 and src host 119.248.37.12

抓取所有访问22端口的数据包且入站IP为：119.248.37.12

tcpdump ip host 119.248.37.12 and 119.248.37.13

抓取IP为119.248.37.12、119.248.37.13的入、出站数据包

tcpdump ip host ! 119.248.37.12

抓取IP除119.248.37.12外，所有IP的入、出站数据包