1.常用参数总结

tcpdump

tcpdump -i （网卡）

tcpdump -nn （数字的方式显示IP和端口。一个n是ip）

tcpdump -c x （抓包数量，x为数字）

tcpdump port xx （抓指定端口的包，xx为端口号）

tcpdump tcp and port xx （指定协议和端口，xx为端口号，and可以省略不写）

tcpdump host xx.xx.xx.xx （指定来源IP或目标IP的包 xx.xx.xx.xx为IP地址。）

tcpdump -w xx.txt （把抓的包写入一个文件，xx.txt为文件名）

tcpdump -s0 -w xx.txt （抓包时防止包截断，s0的0为数字0，抓一个完整的包必须加s0。）

tcpdump -r xx.txt （用户查看-w抓的包，xx.txt为文件名）

-w （抓的包实际是包的内容，非简单的流向。如果访问一张图片，用-w可以把这张图片抓出来。只看流向的话，可以使用重定向。）

2.抓包格式详解

例如：

16:52:25.923003 IP 10.10.8.3.59557 > 192.168.0.139.22: Flags [.], ack 196, win 16324, length 0

16:52:25.923003：时间.毫秒

IP：IP

10.10.8.3.59557：来源IP.port

> 192.168.0.139.22：目标IP.port

Flags [.], ack 196, win 16324, length 0：略

#tcpdump -w 111.cap

将抓包内容写入111.cap文件中，下载后使用wireshark打开可看到详细信息。