一、tcpdump
1、作用
tcpdump 指令可列出经过指定网络界面的数据包文件头，可以将网络中传送的数据包的 “头” 完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供 and、or、not 等逻辑语句来帮助你摘取有用信息。
由于它需要将网络接口设置为混杂模式，普通用户不能正常执行，但具备 root 权限的用户可以直接执行它来获取网络上的信息
其他抓包工具
-
wireshark具有图形化和命令行两种版本，可以对 tcpdump 抓的包进行分析，其主要功能就是分析数据包。
-
ngrep它将抓到的包数据以文本形式直接显示出来，适用于包数据包含文本的[抓包]分析 (如 HTTP、MySQL)
2、命令选项
tcpdump [选项] [协议] [数据流方向] [范围]
-
-a 将网络地址和广播地址转变成名字
-
-A 以 ASCII 格式打印出所有分组，并将链路层的头最小化
-
-b 数据链路层上选择协议，包括 ip/arp/rarp/ipx 都在这一层
-
-c 指定收取数据包的次数，即在收到指定数量的数据包后退出 tcpdump
-
-d 将匹配信息包的代码以人们能够理解的汇编格式输出
-
-dd 将匹配信息包的代码以 c 语言程序段的格式输出
-
-ddd 将匹配信息包的代码以十进制的形式输出
-
-D 打印系统中所有可以监控的网络接口
-
-e 在输出行打印出数据链路层的头部信息
-
-f 将外部的 Internet 地址以数字的形式打印出来，即不显示主机名
-
-F 从指定的文件中读取表达式，忽略其他的表达式
-
-i 指定监听网络接口
-
-l 使标准输出变为缓冲形式，可以数据导出到文件
-
-L 列出网络接口已知的数据链路
-
-n 不把网络地址转换为名字
-
-N 不输出主机名中的域名部分，例如 www.baidu.com 只输出 www
-
-nn 不进行端口名称的转换
-
-P 不将网络接口设置为混杂模式
-
-q 快速输出，即只输出较少的协议信息
-
-r 从指定的文件中读取数据，一般是 - w 保存的文件
-
-w 将捕获到的信息保存到文件中，且不分析和打印在屏幕
-
-s 从每个组中读取在开始的 snaplen 个字节，而不是默认的 68 个字节
-
-S 将 tcp 的序列号以绝对值形式输出，而不是相对值
-
-T 将监听到的包直接解析为指定的类型的报文，常见的类型有 rpc（远程过程调用）和 snmp（简单网络管理协议）
-
-t 在输出的每一行不打印时间戳
-
-tt 在每一行中输出非格式化的时间戳
-
-ttt 输出本行和前面以后之间的时间差
-
-tttt 在每一行中输出 data 处理的默认格式的时间戳
-
-u 输出未解码的 NFS 句柄
-
-v 输出稍微详细的信息，例如在 ip 包中可以包括 ttl 和服务类型的信息
-
-vv 输出相信的保报文信息
3、tcpdump 表达式
关于数据类型的关键字
包括 host、port、net：
host 192.168.100.1 表示一台主机，net 192.168.100.0 表示一个网络网段，port 80 指明端口号为 80，在这里如果没有指明数据类型，那么默认就是 host
牛逼啊！接私活必备的 N 个开源项目！赶快收藏
