参数：

tcpdump的选项

-a 将网络地址和广播地址转变成名字

-d 将匹配信息包的代码以人们能够理解的汇编格式给出

-dd 将匹配信息包的代码以c语言程序段的格式给出

-ddd 将匹配信息包的代码以十进制的形式给出

-e 在输出行打印出数据链路层的头部信息，包括源mac和目的mac，以及网络层的协议

-f 将外部的Internet地址以数字的形式打印出来

-l 使标准输出变为缓冲行形式

-n 指定将每个监听到数据包中的域名转换成IP地址后显示，不把网络地址转换成名字

-t 在输出的每一行不打印时间戳

-v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息

-vv 输出详细的报文信息

-c 在收到指定的包的数目后，tcpdump就会停止

-F 从指定的文件中读取表达式,忽略其它的表达式

-i 指定监听的网络接口

-p 将网卡设置为非混杂模式，不能与host或broadcast一起使用

-r 从指定的文件中读取包(这些包一般通过-w选项产生)

-w 直接将包写入文件中，并不分析和打印出来

-s snaplen表示从一个包中截取的字节数。0表示包不截断，抓完整的数据包。默认的话 tcpdump 只显示部分数据包,默认68字节

-T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc (远程过程调用)和snmp(简单网络管理协议)

-X 告诉tcpdump命令，需要把协议头和包内容都原原本本的显示出来(tcpdump会以16进制和ASCII的形式显示)-vvv：产生比-vv更详细的输出。

-XX：输出包的头部数据，会以16进制和ASCII两种方式同时输出。

-nn ：直接以IP以及PORT number显示，而非主机名与服务名称

关键字：

主机：host、src host、dst host

网段：net、src net、dst net

端口：port、src port、dst port

协议：ip、arp、icmp、tcp、udp、ip6

表达式：and or not，也可以是&& || ! 来表示

TCP Flags：tcp[tcpflags]

/获取 br0 设备所有数据 时间 1500秒 保存文件名称 test.pcap

./tcpdump -i br0 -s 1500 -w test.pcap

//获取环网数据 IP 127.0.0.1 端口 12766 数据并显示 包头 和 负载

./tcpdump -i lo port 12766 -XX -v -nn

//获取 目的主机为 172.16.1.1 端口为 80 的包

tcpdump -i eth1 src host 172.16.1.1 and port 80

//获取目的主机是172.16.1.1 且 源主机是1.2 或 1.3 的包

tcpdump -i eth1 dst host 172.16.1.1 and src host / (172.16.1.2 or 172.16.1.3 /)

//获取 源端口为 80的包

tcpdump -i eth1 src port 80

//抓取所有经过eth1的、协议相关的操作

tcpdump -i eth1 ip

tcpdump -i eth1 icmp

tcpdump -i eth1 tcp

tcpdump -i eth1 udp

//抓取回环网口的包：

tcpdump -i lo

//防止包截断：

tcpdump -s0

//以数字显示主机及端口：

tcpdump -n

// -l 参数 结合 管道处理数据

// 过滤数据长度为88 的包

tcpdump -i lo udp -v -nn -l | grep "length 88"

tcpdump -i lo udp -X -v -nn -l | awk '{print $1}'

//过滤源主机mac为00:00:00:11:22的报头

tcpdump ether src 00:00:00:11:22

//基于网段过滤 过滤所有172.16.1.*

tcpdump net 172.16.1.0/24

//找出一段时间内发包最多的 IP，或者从一堆报文中找出发包最多的 IP，可以使用下面的命令：

$ tcpdump -nnn -t -c 200 | cut -f 1,2,3,4 -d '.' | sort | uniq -c | sort -nr | head -n 20

cut -f 1,2,3,4 -d '.' : 以 . 为分隔符，打印出每行的前四列。即 IP 地址。sort | uniq -c : 排序并计数sort -nr : 按照数值大小逆向排序

//指定具体数据

// tcp包长度 > 100

./tcpdump -i br0 -XX -n port 80 and 'tcp[2:2]>100'

// 过滤 udp 负载长度 = 12

// UDP包结构 （长度 = UDP包头长度 8 + 负载长度）第5个字节开始计算，数组坐标从0开始计算

| 源端口 2 | 目的端口 2 | 长度2 | 校验和2 | 负载 |

//所有负载长度=12 --> udp数据包的长度 = 8 + 12 = 20

//负载数据偏移地址 = udp[8+N:L] (N=0 是数据部分起始地址 L是截取数据部分长度)

./tcpdump -i br0 -XX -n port 80 and 'udp[4:2]=20'

//ip长度 20 只抓取 udp 数据 协议部分要写在最前头

./tcpdump udp -i br0 -XX -n port 80 and 'ip[2:2]=20'