参数：
tcpdump的选项
-a 将网络地址和广播地址转变成名字
-d 将匹配信息包的代码以人们能够理解的汇编格式给出
-dd 将匹配信息包的代码以c语言程序段的格式给出
-ddd 将匹配信息包的代码以十进制的形式给出
-e 在输出行打印出数据链路层的头部信息，包括源mac和目的mac，以及网络层的协议
-f 将外部的Internet地址以数字的形式打印出来
-l 使标准输出变为缓冲行形式
-n 指定将每个监听到数据包中的域名转换成IP地址后显示，不把网络地址转换成名字
-t 在输出的每一行不打印时间戳
-v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息
-vv 输出详细的报文信息
-c 在收到指定的包的数目后，tcpdump就会停止
-F 从指定的文件中读取表达式,忽略其它的表达式
-i 指定监听的网络接口
-p 将网卡设置为非混杂模式，不能与host或broadcast一起使用
-r 从指定的文件中读取包(这些包一般通过-w选项产生)
-w 直接将包写入文件中，并不分析和打印出来
-s snaplen表示从一个包中截取的字节数。0表示包不截断，抓完整的数据包。默认的话 tcpdump 只显示部分数据包,默认68字节
-T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc (远程过程调用)和snmp(简单网络管理协议)
-X 告诉tcpdump命令，需要把协议头和包内容都原原本本的显示出来(tcpdump会以16进制和ASCII的形式显示)-vvv：产生比-vv更详细的输出。
-XX：输出包的头部数据，会以16进制和ASCII两种方式同时输出。
-nn ：直接以IP以及PORT number显示，而非主机名与服务名称
关键字：
主机：host、src host、dst host
网段：net、src net、dst net
端口：port、src port、dst port
协议：ip、arp、icmp、tcp、udp、ip6
表达式：and or not，也可以是&& || ! 来表示
TCP Flags：tcp[tcpflags]
/获取 br0 设备所有数据 时间 1500秒 保存文件名称 test.pcap
./tcpdump -i br0 -s 1500 -w test.pcap
//获取环网数据 IP 127.0.0.1 端口 12766 数据并显示 包头 和 负载
./tcpdump -i lo port 12766 -XX -v -nn
//获取 目的主机为 172.16.1.1 端口为 80 的包
tcpdump -i eth1 src host 172.16.1.1 and port 80
//获取目的主机是172.16.1.1 且 源主机是1.2 或 1.3 的包
tcpdump -i eth1 dst host 172.16.1.1 and src host / (172.16.1.2 or 172.16.1.3 /)
//获取 源端口为 80的包
tcpdump -i eth1 src port 80
//抓取所有经过eth1的、协议相关的操作
tcpdump -i eth1 ip
tcpdump -i eth1 icmp
tcpdump -i eth1 tcp
tcpdump -i eth1 udp
//抓取回环网口的包：
tcpdump -i lo
//防止包截断：
tcpdump -s0
//以数字显示主机及端口：
tcpdump -n
// -l 参数 结合 管道处理数据
// 过滤数据长度为88 的包
tcpdump -i lo udp -v -nn -l | grep "length 88"
tcpdump -i lo udp -X -v -nn -l | awk '{print $1}'
//过滤源主机mac为00:00:00:11:22的报头
tcpdump ether src 00:00:00:11:22
//基于网段过滤 过滤所有172.16.1.*
tcpdump net 172.16.1.0/24
//找出一段时间内发包最多的 IP，或者从一堆报文中找出发包最多的 IP，可以使用下面的命令：
$ tcpdump -nnn -t -c 200 | cut -f 1,2,3,4 -d '.' | sort | uniq -c | sort -nr | head -n 20
cut -f 1,2,3,4 -d '.' : 以 . 为分隔符，打印出每行的前四列。即 IP 地址。sort | uniq -c : 排序并计数sort -nr : 按照数值大小逆向排序
//指定具体数据
// tcp包长度 > 100
./tcpdump -i br0 -XX -n port 80 and 'tcp[2:2]>100'
// 过滤 udp 负载长度 = 12
// UDP包结构 （长度 = UDP包头长度 8 + 负载长度）第5个字节开始计算，数组坐标从0开始计算
| 源端口 2 | 目的端口 2 | 长度2 | 校验和2 | 负载 |
//所有负载长度=12 --> udp数据包的长度 = 8 + 12 = 20
//负载数据偏移地址 = udp[8+N:L] (N=0 是数据部分起始地址 L是截取数据部分长度)
./tcpdump -i br0 -XX -n port 80 and 'udp[4:2]=20'
//ip长度 20 只抓取 udp 数据 协议部分要写在最前头
./tcpdump udp -i br0 -XX -n port 80 and 'ip[2:2]=20'