Linux 下如何使用 tcpdump 抓包？

一、tcpdump 简介

tcpdump 是一款基于命令行的网络数据包捕获工具，支持多种协议解析，能够实时显示或保存网络接口的传输数据。它广泛用于网络调试、安全分析和性能优化。

二、安装 tcpdump

大多数 Linux 发行版已预装 tcpdump，若未安装可通过以下命令：

 Debian/Ubuntu
sudo apt-get install tcpdump

 RHEL/CentOS
sudo yum install tcpdump

 Arch Linux
sudo pacman -S tcpdump

三、基本使用语法

tcpdump 的基本命令格式为：

tcpdump [选项] [过滤表达式]

常用参数说明

• -i：指定网络接口（如 eth0、wlan0）
• -n：禁用域名解析（显示IP而非主机名）
• -c：限制捕获包的数量
• -w：将抓包数据保存到文件
• -r：读取已保存的抓包文件
• -v/-vv/-vvv：控制输出详细程度

四、实战案例

1. 捕获指定网卡流量

sudo tcpdump -i eth0

2. 捕获特定IP的流量

sudo tcpdump host 192.168.1.100

3. 捕获HTTP请求

sudo tcpdump -i eth0 -n port 80 -A

4. 保存抓包数据并分析

 保存到文件
sudo tcpdump -i eth0 -w capture.pcap

 读取分析
sudo tcpdump -r capture.pcap

五、高级过滤技巧

tcpdump 支持 BPF（Berkeley Packet Filter）语法，可实现复杂过滤：

• 协议过滤：tcp、udp、icmp
• 端口过滤：port 443、src port 22
• 逻辑组合：and、or、not

示例：捕获源IP为192.168.1.1且目标端口为443的流量

sudo tcpdump src host 192.168.1.1 and dst port 443

六、常见问题解决

• 权限不足：使用 sudo 或以 root 用户运行
• 找不到网卡：通过 ifconfig 或 ip a 确认接口名称
• 数据量过大：结合 -c 参数限制包数量