tcpdump 在传输的网络上抓包

语法及说明什么的就不写了，直接上实例+参数讲解+表达式用法，实用

1、抓eth0网卡的icmp包

-n不把网络地址(IP)转换成名字
-nn不进行端口名称转换
-c达到指定次数退出
-i抓哪个网卡的包
-tttt时间通过date处理在输出
icmp：表达式、这里表示抓icmp包

tcpdump -nnn -c 10 -i eth0 -tttt icmp

tcpdump -nnn -c 10 -i eth0 -tttt host 119.131.106.3 and udp #表示抓源地址为119.131.106.3且协议是udp的包

2、表达式

表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会被截获。 

在表达式中一般如下几种类型的关键字： 

第一种：

是关于类型的关键字，主要包括host，net，port，例如 host 210.27.48.2， 指明 210.27.48.2是一台主机，net 202.0.0.0指明202.0.0.0是一个网络地址，port 23 指明端口号是23。

如果没有指定类型，缺省的类型是host。

第二种：

是确定传输方向的关键字，主要包括src，dst，dst or src，dst and src， 这些关键字指明了传输的方向。

举例说明，src 210.27.48.2 ，指明ip包中源地址是 210.27.48.2 ， dst net 202.0.0.0 指明目的网络地址是202.0.0.0。

如果没有指明 方向关键字，则缺省是src or dst关键字。

第三种：

是协议的关键字，主要包括fddi，ip，arp，rarp，tcp，udp，icmp等类型。

Fddi指明是在FDDI (分布式光纤数据接口网络)上的特定的网络协议，实际上它是”ether”的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。

其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump 将会监听所有协议的信息包。

----

除了这三种类型的关键字之外，其他重要的关键字如下：gateway，broadcast，less， greater；

还有三种逻辑运算：非运算是 “not ”或者“! ”， 与运算是“and”或者“&&”，或运算是“or”或者“||”；

这些关键字可以组合起来构成强大的组合条件来满足人们的需要。