tcpdump是Linux下强大的网络抓包工具，用于故障排查与安全分析，支持接口监听、包过滤、保存及读取抓包文件，常用参数包括-i指定接口、-c限制数量、-n不解析主机名、-w保存数据、-r读取文件，并可通过BPF语法实现精确过滤，结合Wireshark可深度分析流量。
在Linux系统中，tcpdump 是一个强大的命令行网络抓包工具，可以用来捕获和分析网络接口上的数据包。它适用于网络故障排查、安全分析和性能监控等场景。下面介绍tcpdump的基本使用方法和常见用法。
安装tcpdump
大多数Linux发行版默认未安装tcpdump，可通过包管理器安装：- Ubuntu/Debian: sudo apt install tcpdump
- CentOS/RHEL: sudo yum install tcpdump 或 sudo dnf install tcpdump
查看可用网络接口
使用 -D 选项列出所有可监听的网络接口：sudo tcpdump -D
输出示例：
1.eth0
2.lo
3.wlan0
基本抓包命令
最简单的抓包命令是直接监听某个接口：sudo tcpdump -i eth0
这会监听 eth0 接口上的所有数据包，并实时输出。
常用参数说明：
- -i interface：指定监听的网络接口，如 eth0、wlan0
- -c count：限制捕获的数据包数量，例如 -c 10 表示只抓10个包
- -n：不解析主机名，显示IP地址（加快输出）
- -nn：不解析端口名称（如显示22而不是ssh）
- -v, -vv, -vvv：显示更详细的信息（v越多越详细）
- -s snaplen：设置每个数据包捕获的字节数，默认65535字节可捕获完整包
- -w filename：将数据包保存到文件，用于后续分析（如Wireshark）
- -r filename：读取之前保存的抓包文件
常见使用示例
只抓指定数量的包并显示IP和端口
sudo tcpdump -i eth0 -c 5 -nn
保存数据包到文件
sudo tcpdump -i eth0 -c 10 -w capture.pcap
之后可用Wireshark打开 capture.pcap 分析。
从文件读取并解析
tcpdump -r capture.pcap -nn
抓指定主机的数据包
sudo tcpdump -i eth0 host 192.168.1.100
抓指定源或目标IP的包
sudo tcpdump -i eth0 src 192.168.1.100
sudo tcpdump -i eth0 dst 192.168.1.200
动态WEB网站中的PHP和MySQL详细反映实际程序的需求，仔细地探讨外部数据的验证(例如信用卡卡号的格式)、用户登录以及如何使用模板建立网页的标准外观。动态WEB网站中的PHP和MySQL的内容不仅仅是这些。书中还提到如何串联JavaScript与PHP让用户操作时更快、更方便。还有正确处理用户输入错误的方法，让网站看起来更专业。另外还引入大量来自PEAR外挂函数库的强大功能，对常用的、强大的包
抓指定端口的流量（如HTTP）
sudo tcpdump -i eth0 port 80
sudo tcpdump -i eth0 port 443（HTTPS）
组合条件（使用and/or）
sudo tcpdump -i eth0 host 192.168.1.100 and port 22
sudo tcpdump -i eth0 src 192.168.1.100 and dst port 80
抓特定协议的数据包
sudo tcpdump -i eth0 icmp
sudo tcpdump -i eth0 tcp
sudo tcpdump -i eth0 udp
过滤表达式语法
tcpdump支持BPF（Berkeley Packet Filter）语法，常用表达式：- host 192.168.1.1
- net 192.168.1.0/24
- port 22
- src host 192.168.1.100
- dst port 80
- tcp[tcpflags] & tcp-syn != 0（抓SYN包）
基本上就这些。掌握tcpdump能快速定位网络问题。建议结合 -w 和Wireshark进行深度分析。注意：抓包可能涉及隐私，需合法使用。
