Tcpdump使用

tcpdump是linux系统下强大的数据包分析工具，通过将网卡设置为混杂模式来截取经过网口的每一个分组进行分析，（作用类似windows平台下wireshark等抓包工具）
www.tcpdump.org
dsniff一款非常流行的网络嗅探器软件包“www.monkey.org/~dugsong/dsniff”

功能:判断数据是否经过设备，内网是否有arp欺骗，分析数据走向，分析tcp建立状态，分析端口映射数据走向及分析应用层协议等内容
格式 tcpdump + 参数 + 表达式
tcpdump （-adeflnNOpqStvx） [-c 数量][-F 文件名][-i 网络接口][-r 文件名][-s naplen][-T 类型][-w 文件名][表达式]
-i 指定监听的网络接口
-e 在输出行打印出数据链路层的头部信息
-c 截取指定数目的数据包
-n 不把网络地址转换成名字（不做dns域名解析）
-nn 不把端口和网络地址转换成名称（端口以数字显示）
-x 将截取的数据包内容以十六进制打印出来
-X 将截取的数据包内容以ASCII文本形式打印出来
-s 截取指定大小的数据包，s0表示完整数据包
-W 将抓包内容保存到指定的文件并不打印出来
-a 将网络地址和广播地址转变成名字
-t 在输出的每一行不打印时间戳
-v 输出一个稍微详细的信息
-vv 输出详细的报文信息
-F 从指定的文件中读取表达式，忽略其他的表达式
-r 从指定的文件中读取包（这些包一般通过-w选项产生）

tcpdump -i eth2 dst 10.1.1.1 抓取去往目的主机为10.1.1.1的数据包（对应src）
tcpdump -i eth2 arp -nn （ip、tcp、udp、icmp、802.1Q等）缺省监听所有协议
tcpdump -i eth2 host 1.1.1.1 and icmp nn 抓取网卡eth2上去往目标地址为1.1.1.1的数据包（not ！非运算）（and &&与运算）（or || 或运算）

抓取特殊报文
tcpdump -i eth0 ether[42:4]=0xc0a864c7 or ether[46:4]=0xc0a864c7