tcpdump是Linux下强大的网络抓包工具，用于故障排查与安全分析，支持接口监听、包过滤、保存及读取抓包文件，常用参数包括-i指定接口、-c限制数量、-n不解析主机名、-w保存数据、-r读取文件，并可通过BPF语法实现精确过滤，结合Wireshark可深度分析流量。

在Linux系统中，tcpdump 是一个强大的命令行网络抓包工具，可以用来捕获和分析网络接口上的数据包。它适用于网络故障排查、安全分析和性能监控等场景。下面介绍tcpdump的基本使用方法和常见用法。

安装tcpdump

大多数Linux发行版默认未安装tcpdump，可通过包管理器安装：

• Ubuntu/Debian: sudo apt install tcpdump
• CentOS/RHEL: sudo yum install tcpdump 或 sudo dnf install tcpdump

查看可用网络接口

使用 -D 选项列出所有可监听的网络接口：

sudo tcpdump -D
输出示例：
1.eth0
2.lo
3.wlan0

基本抓包命令

最简单的抓包命令是直接监听某个接口：

sudo tcpdump -i eth0
这会监听 eth0 接口上的所有数据包，并实时输出。

常用参数说明：

Humtap

Humtap是一款免费的ai音乐创作应用程序，

104

查看详情

• -i interface：指定监听的网络接口，如 eth0、wlan0
• -c count：限制捕获的数据包数量，例如 -c 10 表示只抓10个包
• -n：不解析主机名，显示IP地址（加快输出）
• -nn：不解析端口名称（如显示22而不是ssh）
• -v, -vv, -vvv：显示更详细的信息（v越多越详细）
• -s snaplen：设置每个数据包捕获的字节数，默认65535字节可捕获完整包
• -w filename：将数据包保存到文件，用于后续分析（如Wireshark）
• -r filename：读取之前保存的抓包文件

常见使用示例

只抓指定数量的包并显示IP和端口
sudo tcpdump -i eth0 -c 5 -nn

保存数据包到文件
sudo tcpdump -i eth0 -c 10 -w capture.pcap
之后可用Wireshark打开 capture.pcap 分析。

从文件读取并解析
tcpdump -r capture.pcap -nn

抓指定主机的数据包
sudo tcpdump -i eth0 host 192.168.1.100

抓指定源或目标IP的包
sudo tcpdump -i eth0 src 192.168.1.100
sudo tcpdump -i eth0 dst 192.168.1.200

抓指定端口的流量（如HTTP）
sudo tcpdump -i eth0 port 80
sudo tcpdump -i eth0 port 443（HTTPS）

组合条件（使用and/or）
sudo tcpdump -i eth0 host 192.168.1.100 and port 22
sudo tcpdump -i eth0 src 192.168.1.100 and dst port 80

抓特定协议的数据包
sudo tcpdump -i eth0 icmp
sudo tcpdump -i eth0 tcp
sudo tcpdump -i eth0 udp

过滤表达式语法

tcpdump支持BPF（Berkeley Packet Filter）语法，常用表达式：

• host 192.168.1.1
• net 192.168.1.0/24
• port 22
• src host 192.168.1.100
• dst port 80
• tcp[tcpflags] & tcp-syn != 0（抓SYN包）

基本上就这些。掌握tcpdump能快速定位网络问题。建议结合 -w 和Wireshark进行深度分析。注意：抓包可能涉及隐私，需合法使用。