Linux网络协议分析工具tcpdump和tshark用法Tcpdump是网络协议分析的基本工具。tshark是大名鼎鼎的开源网络协议分析工具wireshark（原名叫ethereal）的命令行版本，wireshark 可对多达千余种网络协议进行解码分析。Wireshark和tcpdump均使用libpcap库（参见libpcap编程教程）进行网络截包。TCPDUMP 详细manpage参见tcpdump网站。基本用法Tcpdump的参数基本分为两块:选项（options）和过滤器表达式（filter_expression）Tcpdump是网络协议分析的基本工具。tshark是大名鼎鼎的开源网络协议分析wireshark（原名叫ethereal）的命令行版本，wireshark可对多达千余种网络协议进行解码分析。Wireshark和tcpdump均使用libpcap库（参见libpcap编程教程）进行网络截包。
TCPDUMP
详细manpage参见tcpdump网站。
基本用法
Tcpdump的参数基本分为两块:选项（options）和过滤器表达式（filter_expression）。
# tcpdump [options] [filter_expression]
例如
# tcpdump -c 100 -i eth0 -w log tcpdst port 50000
其中options部分参数：
-c 100 指定截取的包的数量
-i eth0 指定监听哪个网络端口
-w log 输出到名为log的文件中（libpcap格式）
filter_expression参数为tcpdst port 50000，即只监听目标端口为50000的tcp包。
更多的例子：
/* 监视目标地址为除内网地址(192.168.3.1-192.168.3.254)之外的流量*/
# tcpdumpdst net not 192.168.3.0/24
/*
监视除HTTP浏览（端口80/8080）、SSH(22)、POP3（110)之外的流量，注意在括号(之前添加转义符\, -n和-nn的解释见随后
*/
# tcpdump -n -nn port not \(www or 22 or 110\)
或
# tcpdump -n -nn port ! \(www or 22 or 110\)
/* 监视源主机MAC地址为00:50:04:BA: 9B的包*/
# tcpdump ether src 00:50:04:BA: 9B
/* 监视源主机为192.168.0.1并且目的端口不是telnet的包*/
# tcpdumpsrc host 192.168.0.1 and dst port not telnet
ipicmparprarp和tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型。例如：
# tcpdumpipsrc…… //只过滤数据-链路层上的IP报头
# tcpdumpudp and src host 192.168.0.1 //只过滤源主机192.168.0.1的所有udp报头
TcpDump提供了很多options参数来让我们选择如何处理得到的数据，如下所示：
-l 将数据重定向。如tcpdump -l > tcpcap.txt将得到的数据存入tcpcap.txt文件中。
-n 不进行IP地址到主机名的转换。如果不使用这一项，当系统中存在某一主机的主机名时，TcpDump会把IP地址转换为主机名显示，就像这样：eth0 ＜ntc9.1165＞.telnet，使用-n后变成了：eth0 ＜192.168.0.9.1165 ＞192.168.0.1.telnet。
-nn不进行端口名称的转换。上面这条信息使用-nn后就变成了：eth0 ＜ntc9.1165 ＞.23。
-N 不打印出默认的域名。还是这条信息-N 后就是：eth0 ＜ntc9.1165 ＞router.telnet。
-O 不进行匹配代码的优化。
-t 不打印UNIX时间戳，也就是不显示时间。
-tt打印原始的、未格式化过的时间。
-v 详细的输出，也就比普通的多了个TTL和服务类型。
参数详解
tcpdump采用命令行方式，它的命令格式为：
tcpdump [ -adeflnNOpqStvx ] [ -c 数量] [ -F 文件名]
[ -i 网络接口] [ -r 文件名] [ -s snaplen ]
[ -T 类型] [ -w 文件名] [表达式]
-a 将网络地址和广播地址转变成名字；
-d 将匹配信息包的代码以人们能够理解的汇编格式给出；
-dd将匹配信息包的代码以c语言程序段的格式给出；
-ddd将匹配信息包的代码以十进制的形式给出；
-e 在输出行打印出数据链路层的头部信息；
-f 将外部的Internet地址以数字的形式打印出来；
-l 使标准输出变为缓冲行形式；
-n 不把网络地址转换成名字；
-t 在输出的每一行不打印时间戳；
-v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；
-vv输出详细的报文信息；
-c 在收到指定的包的数目后，tcpdump就会停止；
-F 从指定的文件中读取表达式,忽略其它的表达式；
-i 指定监听的网络接口；
-r 从指定的文件中读取包(这些包一般通过-w选项产生)；
-w 直接将包写入文件中，并不分析和打印出来；
-T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc（远程过程
调用）和snmp（简单网络管理协议；）
tcpdump的表达式介绍