tcpdump作为linux中强大的网络数据采集分析工具，它支持针对网络层、协议、主机（源和目的）、端口、mac地址的过滤，并支持and、or、not过滤数据包。我们可以用tcpdump+wireshark的组合实现：在Linux里抓包，然后在Windows 里分析包。
一、tcpdump参数介绍
(1)tcp: ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型
(2)-i eth1 : 只抓经过接口eth1的包
(3)-t : 不显示时间戳
(4)-tt : 显示时间戳
(5)-s 0 : 抓取数据包时默认抓取长度为68字节。加上-S 0 后可以抓到完整的数据包
(6)-c 100 : 只抓取100个数据包
(7)dst port ! 22 : 不抓取目标端口是22的数据包
(8)src net 192.168.1.0/24 : 数据包的源网络地址为192.168.1.0/24
(9)-w ./target.cap : 保存成cap文件，方便用ethereal(即wireshark)分析
二、数据包的抓取
1、 针对接口和主机名（hostname）或IP过滤数据包
-i：指定接口，不指定一般默认eth0
host：指定主机或Ip
src host：指定源主机或Ip
dst host：指定目的主机或Ip
net：指定网段
例1：抓取源地址是192.168.50.144上eth1接口上的包
tcpdump -i eth1 src host 192.168.50.144
例2：抓取A 与B或者与C之间通信的数据包
tcpdump host A and \(B or C\)
例3：抓取A与任何主机的数据但不包括B
tcpdump host A not B
例4：过滤源主机为192.168.50.144与目的网络为192.168.5.0的数据包
tcpdump src host 192.168.50.144 and dst net 192.168.50.0/24
例5：过滤出源物理地址00:19:21:1D:75:E6和目的物理地址00:19:21:1D:75:E7的数据包
tcpdump ether src 00:19:21:1D:75:E6 and dst 00:19:21:1D:75:E7
2、 针对协议和端口过滤数据包
tcp、udp、icmp、arp、rarp、等
例1：过滤出本机tcp协议数据包
tcpdump tcp
例2：过滤出目的IP：192.168.50.144的tcp协议数据包
tcpdump tcp and host 192.168.50.144
例3：过滤出目的IP：192.168.50.144的80端口数据包
tcpdump tcp port 80 and dst host 192.168.50.144
例4：对本机的udp 123 端口进行监视:（123 为ntp的服务端口）
tcpdump udp port 123
