tcpdump
tcpdump -s0 -i any -w /home/inassouth/jiangsi.cap
-
首先，先运行ifconfig，看一下要抓的是哪个网络端口，例子里面只有eth1这一个端口。
-
那么我们开始介绍命令了。
第一个最简单的就是直接#tcpdump -i <interface>， 这个的话会直接输出在屏幕上。但是缺点是分析起来不太方便。
-
第二个我们增加了-w这个参数，这样可以把输出导入到一个文件中，后续可以用wireshark、Tshark这种网络分析工具来分析。
#tcpdump -i <int> -w <path>
-
第三个我们可以用一些过滤的参数来过滤掉一些不需要的报文，这边介绍的是host，这个可以指定只抓取和这个host通信的报文。
#tcpdump -i <int> -w <path> host <IP>
-
第四个，关于过滤的参数，除了host，常用的还有port，这个是用来过滤端口的，就是说明只抓取来自或者到达这个端口的报文。
#tcpdump -i <int> -w <path> port <port number>
-
第五个，关于过滤的参数，除了host，port， 常用的还有net，这个其实还是用来过滤主机的，就是说明只抓取来自或者到达这个子网的报文。
#tcpdump -i <int> -w <path> net <subnet>
PS:<subnet>的格式可以是192.168.1.0/24， 也可以是192.168.1
-
第六个，介绍一下-s这个参数，这个是截取多少字节的报文的。默认值是68，也就是每个报文只取68字节。但是有些协议只取68字节会丢失掉一些有用的数据，所以有必要使用-s 0，表示抓取整个报文。
#tcpdump -i <int> -s 0 -w <path> host <IP>
-
第七个，关于过滤参数，我们还可以叠加使用，例如我们想抓来自或者到达某个IP并且还是来自或者到达某个端口的报文。可以用&&符号，但是过滤参数需要用“”括起来。
e.g. #tcpdump -i <int> -w <path> “host <IP> && port <port number>"
-
第八个，还是关于过滤参数的，如果想要一个或的关系，那么可以用||符号表示，同样过滤参数需要用""括起来。
e.g. #tcpdump -i <int> -w <path> “host <IP> || host <IP>"
