Linux tcpdump 命令 - 数据包捕获分析工具
介绍
tcpdump 命令是 Linux 系统中的一个网络数据包截获分析工具，支持针对网络层、协议、主机、网络或端口的过滤，并提供 and、or、not 等逻辑语句帮助过滤无用的信息。
tcpdump 命令通常默认不安装，在 Debian/Ubuntu 系统上可以使用如下命令进行安装。
sudo apt install tcpdump
语法：
tcpdump [-adeflnNOpqStvx]
[-c <count>] [-dd] [-ddd] [-F <file>]
[-i <interface>] [-r <file>]
[-s <snaplen>] [-tt] [-T <type>]
[-vv] [-w <file>]
选项：
-a：尝试将网络和广播地址转换成名称。-c <数据包数目>：收到指定的数据包数目后，就停止进行倾倒操作。-d：把编译过的数据包编码转换成可阅读的格式，并倾倒到标准输出。-dd：把编译过的数据包编码转换成 C 语言的格式，并倾倒到标准输出。-ddd：把编译过的数据包编码转换成十进制数字的格式，并倾倒到标准输出。-e：在每列倾倒资料上显示连接层级的文件头。-f：用数字显示网际网络地址。-F <表达文件>：指定内含表达方式的文件。-i <网络界面>：使用指定的网络截面送出数据包。-l：使用标准输出列的缓冲区。-n：不把主机的网络地址转换成名字。-N：不列出域名。-O：不将数据包编码最佳化。-p：不让网络界面进入混杂模式。-q：快速输出，仅列出少数的传输协议信息。-r <数据包文件>：从指定的文件读取数据包数据。-s <数据包大小>：设置每个数据包的大小。-S：用绝对而非相对数值列出 TCP 关联数。-t：在每列倾倒资料上不显示时间戳记。-tt：在每列倾倒资料上显示未经格式化的时间戳记。-T <数据包类型>：强制将表达方式所指定的数据包转译成设置的数据包类型。-v：详细显示指令执行过程。-vv：更详细显示指令执行过程。-x：用十六进制字码列出数据包资料。-w <数据包文件>：把数据包数据写入指定的文件。
示例
提示：运行 tcpdump 需要超级用户（root）权限，普通用户执行下列命令时需要加上 sudo 提权，否则会收到一条错误消息：“You don’t have permission to capture on that device”。
显示所有网络数据包信息
tcpdump
打印 tcpdump 所有可用网络接口（包括以太网口、Wi-Fi、蓝牙等）
tcpdump -D
捕获来自所有接口的所有数据包（any 表示捕获所有活动的接口）
tcpdump -i any
默认情况下，tcpdump 会对 IP 地址执行反向 DNS 解析，并将端口号转换为名称。使用 -n 选项可禁用翻译：
tcpdump -n
提示：跳过 DNS 查找可避免生成 DNS 流量，并使输出更具可读性。建议每次调用 tcpdump 时都使用 -n 选项。
捕获 10 个数据包
tcpdump -c 10
以精简模式显示 10 个数据包信息
tcpdump -c 10 -q
以详细模式显示 10 个数据包信息
tcpdump -c 10 -vv
仅捕获 UDP 数据包（将该协议指定为过滤器）
tcpdump -n udp
仅捕获指定端口（如 51180）的数据包（使用 port 限定符）
tcpdump -n port 51180
仅捕获指定主机相关的数据包（使用 host 限定符）
tcpdump -n host 192.168.1.100
提示：使用 net 限定符可以过滤指定的 IP 范围
仅捕获来自 192.168.1.100 的主机的传入数据包（使用 src 指定源地址，dst 指定目的地址）
tcpdump -n src host 192.168.1.100
捕获所有发送到 80 端口的数据包
tcpdump -n dst port 80
对于复杂的过滤条件，可以使用 and（&&）、or（||）和 not（!）运算符进行组合。
例如：捕获来自某个源IP地址 192.168.1.100 的所有 HTTP 通 信
tcpdump -n src 192.168.1.100 and tcp port 80
以及 HTTPS 通信
tcpdump -n 'host 192.168.1.100 and (tcp port 80 or tcp port 443)'
提示：为避免使用特殊字符时解析错误，可将过滤器括在单引号内。
捕获源 IP 地址 192.168.1.100 除 SSH 以外的所有流量
tcpdump -n src 192.168.1.100 and not dst port 22
将捕获的网络数据包信息保存到文件中（使用重定向操作符 > 和 >> 将其重定向到文件）
tcpdump -n -i any > file.out
如果你想在保存到文件的同时在终端观看数据，可以借助 tee 命令
tcpdump -n -l | tee file.out
注意：上面命令中的 -l 选项告诉 tcpdump 缓冲输出。如果不使用此选项时，那么在生成新行时，输出将不会显示在屏幕上。
将捕获的网络数据包导出到文件（使用 -w 选项）
tcpdump -n -w data.pcap
提示：你可以根据需要命名文件，但是使用 .pcap 扩展名（数据包捕获）是一种常见的约定。
注意：使用 -w 选项时，tcpdump 的输出不显示在屏幕上，并将原始数据包写入到一个二进制文件，而非文本文件，这一点和重定向保存到文件不同。
如果想要查看 pcap 文件的内容，请使用 -r 选项，例如：
tcpdump -r data.pcap
如果想要捕获一段时间内的数据包，可以与 timeout 命令配合使用。例如捕获 5 分钟的网络数据：
timeout 300 tcpdump -n -w data.pcap
