概述

tcpdump很牛哇，牛逼之处在于你可以通过他监控什么数据在网络中流通，在大多的类 Unix 系统操作系统（如 Linux,BSD 等）都能用（前提你必须是系统管理员），他可以识别很多协议：ARP、RARP、ICMP、TCP、UDP、IP、IPv6等。

常见用法

执行 tcpdump -h 就能看见了。

每个参数的详细解释：见菜鸟教程。

下面我仅仅做我常用的几个指令的实验并解释：

tcpdump 不带参数

tcpdump -c 20 抓取20条数据包

tcpdump -i eth0 抓取指定网络接口

tcpdump port 80 抓取目标或源端口为80的数据包

tcpdump -w output.pcap 将抓取结果输出到文件中

如果直接打开这个文件是乱码。也就是说这个文件内容很详细，但不能直接阅读。这样输出文件就可以用ethereal 或者wireshark打开，对数据包进行深入分析。

tcpdump -r output.pcap 读取刚刚抓取的数据内容到屏幕上

就是说，如果不想把这个文件用wireshark打开，直接tcpdump > txpdump.txt就行啦。