从零开始掌握tcpdump：参数详解

-a 尝试将网络和广播地址转换成名称。

• 示例：

  tcpdump -a -i eth0
  

  将捕获到的eth0接口的网络和广播地址转换为名称显示。

-c <数据包数目> 收到指定的数据包数目后，就停止进行倾倒操作。

• 示例：

  tcpdump -c 10 -i eth0
  

  捕获10个eth0接口上的数据包后停止。

-d 把编译过的过滤包编译转换成可读的格式，并倾倒到标准输出。

• 示例：

  tcpdump -d -i eth0
  

  显示编译过的过滤表达式。

-dd 把编译过的过滤包编译转换成C语言的格式，并倾倒到标准输出。

• 示例：

  tcpdump -dd -i eth0
  

  以C语言格式显示编译过的过滤表达式。

-ddd 把编译过的过滤包编译转换成十进制数字的格式，并倾倒到标准输出。

• 示例：

  tcpdump -ddd -i eth0
  

  以十进制格式显示编译过的过滤表达式。

-e 在每列倾倒的资料上显示连线层级的文件头。

• 示例：

  tcpdump -e -i eth0
  

  显示eth0接口上的数据包的以太网头部信息。

-f 用数字显示网际网路地址。

• 示例：

  tcpdump -f -i eth0
  

  用数字格式显示IP地址。

-F <表达文件> 指定内容表达方式的文件。

• 示例：

  tcpdump -F  -i eth0
  

  使用中的表达方式过滤eth0接口上的数据包。

-i <网络界面> 使用指定的网络接口送出数据包。

• 示例：

  tcpdump -i eth0
  

  捕获eth0接口上的数据包。

-l 使用标准输出的缓冲区。

• 示例：

  tcpdump -l -i eth0
  

  将输出行缓冲。

-n 不把主机的网络地址转换成名称。

• 示例：

  tcpdump -n -i eth0
  

  不转换主机名。

-N 不列出域名。

• 示例：

  tcpdump -N -i eth0
  

  不解析主机名的域名部分。

-O 不将数据包编码器最佳化。

• 示例：

  tcpdump -O -i eth0
  

  禁用优化。

-p 不让网络界面进入混杂模式。

• 示例：

  tcpdump -p -i eth0
  

  使eth0接口不进入混杂模式。

-q 快速输出，仅列出少数的传输协议信息。

• 示例：

  tcpdump -q -i eth0
  

  简单快速输出数据包的信息。

-r <数据包文件> 从指定的文件读取数据包数据。

• 示例：

  tcpdump -r 
  

  从文件读取数据包。

-s <数据包大小> 设置每个数据包的大小。

• 示例：

  tcpdump -s 1024 -i eth0
  

  捕获eth0接口上前1024字节的数据包。

-S 用绝对而非相对数值列出TCP序列号。

• 示例：

  tcpdump -S -i eth0
  

  以绝对序列号显示TCP序列号。

-t 在每列倾倒资料上不要显示时间戳记。

• 示例：

  tcpdump -t -i eth0
  

  不显示时间戳。

-tt 在每列倾倒资料上显示未经过格式化的时间戳记。

• 示例：

  tcpdump -tt -i eth0
  

  显示未经格式化的时间戳。

-T <数据包类型> 强制将表达方式所指的类型的数据信息转换成该数据包类型。

• 示例：

  tcpdump -T rpc -i eth0
  

  将捕获的eth0接口上的数据包解释为RPC数据包。

-v 详细显示指令执行过程。

• 示例：

  tcpdump -v -i eth0
  

  详细显示捕获数据包的信息。

-vv 更详细显示指令执行过程。

• 示例：

  tcpdump -vv -i eth0
  

  更详细地显示数据包信息。

-x 用十六进制字码列出数据包资料。

• 示例：

  tcpdump -x -i eth0
  

  以十六进制格式显示eth0接口上的数据包内容。

-X 用十六进制和ASCII码列出数据包资料。

• 示例：

  tcpdump -X -i eth0
  

  以十六进制和ASCII码显示eth0接口上的数据包内容。

-w <数据包文件> 把数据包资料写入到指定的文件。

• 示例：

  tcpdump -w  -i eth0
  

  将捕获的eth0接口上的数据包写入文件。