TCPDump 是一款强大的网络抓包工具，它可以帮助网络管理员或安全专家监视和分析网络数据包。本文将详细介绍 TCPDump 的使用方法，以及如何解读 TCPDump 抓包结果。

安装

TCPDump在Linux中已经默认安装。如果没有安装可以利用yum apt opkg等命令直接进行安装。

查看帮助

tcpdump -h

常用命令

实列

捕捉数据包，并将其保存为pcap格式数据包。保存完成的数据包，我们可以利用wireshark工具打开。默认监听的网卡为eth0，运行一段时间后，按ctrl+c停止抓包，数据会自动保存。

tcpdump -w output.pcap

🦉捕获指定IP

通常情况下，TCPDump会捕获全局域网的数据包。这样会造成数据包很大，不易分析数据，因为我们可以对其进行简单的过滤。如，只捕获192.168.123.43这台设备的数据包。

tcpdump host 192.168.123.43

🐌捕获特定协议

TCPDump 可以通过协议名称(tcp udp icmp arp)过滤要捕获的数据包。

tcpdump tcp #只捕获TCP流量

🐼捕获特定端口

tcpdump port 80

🐼捕获HTTP

 tcpdump -i eth0 -w kali.pcap port 80