Tcpdump

tcpdump 用简单的话来定义 tcpdump, 就是: dump the traffic on a network, 根据使用者的定义对网络上的数据包进行截获的包分析工具。 tcpdump 可以将网络中传送的数据包的"头"完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤,并提供 and、or、not 等逻辑语句来帮助你去掉无用的信息。 tcpdump 工作在数据链路层 commands # tcpdump 默认读取第一个网络接口上所有流过的数据包。 tcpcump # 按源地址抓包（常用） tcpdump -i eth0 src host 192.168.1.1 # 保存抓包到文件，后续用 Wireshark 分析 tcpdump -i eth1 src port 25 -w foo.cap # 按主机和端口过滤（常用） tcpdump host 192.168.1.1 and port 80 tcpdump host 192.168.1.1 install #archlinux pacman -S tcpdump #redhat yum install -y tcpdump 过滤 tcp flag TCP 协议头中flags 域的可用取值: tcp-fin, tcp-syn, tcp-rst, tcp-push, tcp-ack, tcp-urg ...