# tcpdump 命令详解及示例
Q: tcpdump 是干吗的
A: 抓包的
Q: 除了 tcpdump 还有啥能抓包
A: wireshark
Q: 为啥不讲 wireshark 抓包
A: wireshark 在 linux 命令行上不能用
# tcpdump 命令详解
# 关键选项
-c count: 指定打印条数-i interface: 指定网络接口，如常见的eth0，lo，可以通过ifconfig打印所有网络接口-vv: 尽可能多地打印信息
# 过滤器
过滤器，顾名思义，过滤一部分数据包，而过滤器使用 pcap-filter 的语法
所以你可以查看 pcap-filter 手册
# 查看所有过滤器
$ man pcap-fliter
过滤器可以简单分为三类
type: 有四种类型host，net，port，portrangetcpdump port 22tcpdump port ssh
dir: 源地址和目标地址，主要有src和dsttcpdump src port ssh
proto: 协议，有ip，arp，rarp，tcp，udp，icmp等tcpdump icmp
# tcpdump examples
命令:
netstat -i
解释: 打印所有网络接口命令:
tcpdump -i eth0
解释: 监视网络接口eth0的数据包命令:
tcpdump host 172.18.0.10
解释: 监视主机地址172.18.0.10的数据包命令:
tcpdump net 172.18.0.1/24
解释: 监视网络172.10.0.1/24的所有数据包命令:
tcpdump tcp port 443
解释: 监听 https 请求命令:
tcpdump tcp port 443 and host 172.18.0.10
解释: 监听目标地址或源地址是 172.18.0.10 的 https 请求命令:
tcpdump icmp
解释: 监听 ICMP 协议 (比如典型的 PING 命令)命令:
tcpdump arp
解释: 监听 ARP 协议命令:
tcpdump 'tcp[tcpflags] == tcp-syn'
解释: 监听 TCP 协议中flag带SYN的，可以用来监听三次握手命令:
tcpdump -vv tcp port 80 | grep 'Host:'
解释: 找到 http 中所有的 Host