------------tcpdump---------------
            格式：
                tcpdump [option] [expression]
            option：
                抓包选项：
                    -c：指定要抓取的包数量。
                    -i interface：指定tcpdump需要监听的接口。默认会抓取第一个网络接口
                    -n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析。
                    -nn：除了-n的作用外，还把端口显示为数值，否则显示端口服务名。
                    -P：指定要抓取的包是流入还是流出的包。可以给定的值为"in"、"out"和"inout"，默认为"inout"。
                    -s len：设置tcpdump的数据包抓取长度为len，如果不设置默认将会是65535字节。
                    
                输出选项：
                    -e：输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。
                    -q：快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。
                    -X：输出包的头部数据，会以16进制和ASCII两种方式同时输出。
                    -XX：输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细。
                    -v：当分析和打印的时候，产生详细的输出。
                    -vv：产生比-v更详细的输出。
                    -vvv：产生比-vv更详细的输出。

                其他功能性选项：
                    -D：列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们都可以用于"-i"后。
                    -F：从文件中读取抓包的表达式。若使用该选项，则命令行中给定的其他表达式都将失效。
                    -w：将抓包数据输出到文件中而不是标准输出。可以同时配合"-G"
                    "time"选项使得输出文件每time秒就自动切换到另一个文件。可通过"-r"选项载入这些文件以进行分析和打印。
                    -r：从给定的数据包文件中读取数据。使用"-"表示从标准输入中读取

            expression 表达式
                ==一个基本的表达式单元格式为"proto dir type ID"==
                对于表达式语法，参考 pcap-filter 【pcap-filter - packet filter syntax】
                类型 type
                    host, net, port, portrange
                    例如：host 192.168.201.128 , net 128.3, port 20, portrange 6000-6008
                目标 dir
                    src, dst, src or dst, src and dst
                协议 proto
                    tcp， udp ， icmp，若未给定协议类型，则匹配所有可能的类型
                ==表达式单元之间可以使用操作符" and / && / or / || / not / ! "进行连接，从而组成复杂的条件表达式==。如"host foo and not port ftp and not port ftp-data"，这表示筛选的数据包要满足"主机为foo且端口不是ftp(端口21)和ftp-data(端口20)的包"，常用端口和名字的对应关系可在linux系统中的/etc/service文件中找到。
                另外，同样的修饰符可省略，如"tcp dst port ftp or ftp-data or domain"与"tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain"意义相同，都表示包的协议为tcp且目的端口为ftp或ftp-data或domain(端口53)。
                使用括号"()"可以改变表达式的优先级，但需要注意的是括号会被shell解释，所以应该使用反斜线""转义为"()"，在需要的时候，还需要包围在引号中。

            例：
                1. 默认启动
                    tcpdump
                    默认情况下，直接启动tcpdump将监视第一个网络接口(非lo口)上所有流通的数据包。这样抓取的结果会非常多，滚动非常快。
                    
                2 . 监视指定网络接口的数据包
                    tcpdump -i ens33
                3. 监视指定主机的数据包，例如所有进入或离开node1的数据包
                    tcpdump -i ens33  host node1
                    
                4. 打印node1<-->node2或node1<-->node3之间通信的数据包
                    tcpdump -i ens33 host node1 and \(node2 or node3\)
                    
                5. 打印node1与任何其他主机之间通信的IP数据包,但不包括与node4之间的数据包
                    tcpdump -i ens33 host node1 and not node4
                    
                6. 截获主机node1 发送的所有数据
                    tcpdump -i ens33 src host node1
                    
                7. 监视所有发送到主机node1 的数据包
                    tcpdump -i ens33 dst host node1
                    
                8. 监视指定主机和端口的数据包
                    tcpdump -i ens33 port 8080 and host node1
                    
                9. 监视指定网络的数据包，如本机与192.168网段通信的数据包，"-c 10"表示只抓取10个包
                    tcpdump -i ens33 -c 10 net 192.168
                    
                10. 打印所有通过网关snup的ftp数据包
                    tcpdump 'gateway snup and (port ftp or ftp-data)'
                    注意,表达式被单引号括起来了,这可以防止shell对其中的括号进行错误解析

                11. 抓取ping包
                    tcpdump -c 5 -nn -i ens33 

                    ==指定主机抓ping包==
                    tcpdump -c 5 -nn -i eth0 icmp and src 192.168.100.62
                    
                12. 抓取到本机22端口包
                    tcpdump -c 10 -nn -i ens33 tcp dst port 22
                    
                13. 解析包数据
                    tcpdump -c 2 -q -XX -vvv -nn -i ens33 tcp dst port 22
                
                14. http请求头:
                    tcpdump -i eth0 port 80 -s 1024 -l -A
                        -A  以ASCII码方式显示每一个数据包(不会显示数据包中链路层头部信息). 在抓取包含网页数据的数据包时, 可方便查看数据(nt: 即Handy for capturing web pages).
                        -l 　　　使标准输出变为缓冲行形式
                        -s snaplen         snaplen表示从一个包中截取的字节数。0表示包不截断，抓完整的数据包。默认的话 tcpdump 只显示部分数据包,默认68字节。
                                        
            结果解析:
                [S] 表示这是一个SYN请求
                [.] 表示这是一个ACK确认包，(client)SYN->(server)SYN->(client)ACK 就是3次握手过程
                [P] 表示这个是一个数据推送，可以是从服务器端向客户端推送，也可以从客户端向服务器端推
                [F] 表示这是一个FIN包，是关闭连接操作，client/server都有可能发起
                [R] 表示这是一个RST包，与F包作用相同，但RST表示连接关闭时，仍然有数据未被处理。可以理解为是强制切断连接
                
                例,查看本机发起的http数据推送：
                    tcpdump -i `ifconfig|grep -B1 inet|grep flags|awk '{print $1}'|tr -d ':'|head -1` -nn -P out tcp and not port 22|grep '\[P'
                    
        ---------------tshark/ngrep----------------
            实时打印当前http请求的url(包括域名)
                tshark -s 512 -i eth0 -n -f 'tcp dst port 80' -R 'http.host and http.request.uri' -T fields -e http.host -e http.request.uri -l 
                    下面介绍参数含义：
                        -s 512 :只抓取前512个字节数据
                        -i eth0 :捕获eth0网卡
                        -n :禁止网络对象名称解析
                        -f 'tcp dst port 80' :只捕捉协议为tcp,目的端口为80的数据包
                        -R 'http.host and http.request.uri' :过滤出http.host和http.request.uri
                        -T fields -e http.host -e http.request.uri :打印http.host和http.request.uri
                        -l ：输出到标准输出
            实时打印当前mysql查询语句
                tshark -s 512 -i eth0 -n -f 'tcp dst port 3306' -R 'mysql.query' -T fields -e mysql.query
                    下面介绍参数含义：
                        -s 512 :只抓取前512个字节数据
                        -i eth0 :捕获eth0网卡
                        -n :禁止网络对象名称解析
                        -f 'tcp dst port 3306' :只捕捉协议为tcp,目的端口为3306的数据包
                        -R 'mysql.query' :过滤出mysql.query
                        -T fields -e mysql.query :打印mysql查询语句
                        tshark使用-f来指定捕捉包过滤规则，规则与tcpdump一样，可以通过命令man pcap-filter来查得。
                        tshark使用-R来过滤已捕捉到的包，与界面板wireshark的左上角Filter一致        
            ngrep:
                ngrep -i -qd  eth0 -W byline 'http' host 172.17.1.111
                ngrep -i -q -d any -W byline 'cscloud-dsms-rawdataparser'
                    -q      静默模式，不匹配的包不会一直打印#
                    -d        指定网卡
                    -W     byline 打印换行；可用参数还有none，打印详情，但是不换行
                    -i         忽略大小写
                    -v     翻转匹配
                    'http' 此处为匹配http字符串，可以使用正则表达式
                    host 172.17.1.111    指定只抓取某主机的包