tcpdump用于命令行抓包，Wireshark提供图形化分析，tshark支持命令行深度解析，三者结合可高效完成网络数据包捕获与分析任务。
在Linux系统中抓取和分析网络数据包，常用工具是 tcpdump 和 Wireshark（通过 tshark）。这些工具可以帮助你诊断网络问题、排查安全威胁或分析协议行为。
使用 tcpdump 抓包
tcpdump 是命令行工具，适合在服务器或无图形界面环境下使用。
基本语法：
tcpdump [选项] [过滤表达式]常用操作：
- 监听指定网卡：tcpdump -i eth0
- 保存数据包到文件：tcpdump -i eth0 -w capture.pcap
- 只抓指定数量的包：tcpdump -i eth0 -c 100 -w capture.pcap
- 抓指定主机的流量：tcpdump host 192.168.1.100
- 抓指定端口的流量（如HTTP）：tcpdump port 80
- 组合过滤条件：tcpdump host 192.168.1.100 and port 80
- 以可读形式显示内容：tcpdump -X
抓下来的 .pcap 文件可以用 Wireshark 打开进一步分析。
使用 Wireshark 图形化分析
Wireshark 提供了强大的图形界面，适合深入分析协议细节。
安装（以Ubuntu为例）：
sudo apt install wireshark安装过程中会提示是否允许非root用户抓包，选择“是”。
启动图形界面：
PHP高级开发技巧与范例
下载
PHP是一种功能强大的网络程序设计语言，而且易学易用，移植性和可扩展性也都非常优秀，本书将为读者详细介绍PHP编程。 全书分为预备篇、开始篇和加速篇三大部分，共9章。预备篇主要介绍一些学习PHP语言的预备知识以及PHP运行平台的架设；开始篇则较为详细地向读者介绍PKP语言的基本语法和常用函数，以及用PHP如何对MySQL数据库进行操作；加速篇则通过对典型实例的介绍来使读者全面掌握PHP。 本书
你可以选择网卡开始抓包，也可以导入 tcpdump 生成的 .pcap 文件进行分析。Wireshark 支持丰富的过滤语法，比如：
- ip.addr == 192.168.1.100 —— 过滤特定IP
- tcp.port == 80 —— 过滤特定端口
- http —— 只显示HTTP流量
- dns —— 查看DNS查询
使用 tshark 命令行分析
tshark 是 Wireshark 的命令行版本，适合脚本处理或服务器环境。
示例：
- 抓包并保存：tshark -i eth0 -w capture.pcap
- 实时显示HTTP请求：tshark -i eth0 -f "port 80" -T fields -e http.host -e http.request.uri
- 读取pcap文件并分析DNS：tshark -r capture.pcap -Y dns
tshark 的过滤语法与 Wireshark 相同，功能强大且可集成到自动化流程中。
权限与注意事项
抓包需要网络接口的原始套接字权限。通常需要：
- 使用 sudo 执行 tcpdump 或 tshark
- 或将用户加入 wireshark 组以避免每次输入密码：sudo usermod -aG wireshark $USER
抓包时尽量使用过滤条件，避免生成过大的文件。同时注意隐私和合规问题，不要在生产环境中随意抓包敏感流量。
基本上就这些。tcpdump 适合快速抓取，Wireshark 适合深度分析，tshark 则兼顾命令行和解析能力。根据场景选择工具即可。
