tcpdump命令：
1、指定接口（-i）
tcpdump -i eth0
2、指定ip地址（host），可以辅加and，or，！等逻辑符，以及src，dest等表示方向。
三次握手过程分析
在主机A上开启SSHD服务，此时不要有任何客户端主机来连接主机A的SSHD服务，这样是为了抓包更清楚。
主机A执行：tcpdump port 22 -c 3 -n -S
#打印序列号 -S Print absolute, rather than relative, TCP sequence numbers.
#port 端口号
-c 抓几个包
-n 不解析端口号为协议名
主机B执行：yum install telnet -y #安装telnet
telnet 192.168.1.23 22 #连接主机A的22端口
[root@zq ~]# tcpdump -h
tcpdump version 4.1-PRE-CVS_2012_02_01
libpcap version 1.4.0
Usage: tcpdump [-aAdDefIKlLnNOpqRStuUvxX] [ -B size ] [ -c count ]
[ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
[ -i interface ] [ -M secret ] [ -r file ]
[ -s snaplen ] [ -T type ] [ -w file ] [ -W filecount ]
[ -y datalinktype ] [ -z command ] [ -Z user ]
[ expression ]
eg：
[root@zq ~]# tcpdump port 22 -c 3 -n -S
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
21:18:05.554990 IP 192.168.1.100.61883 > 192.168.1.23.ssh: Flags [S], seq 919487421, win 8192, options [mss 1460,nop,wscale 8,nop,nop,sackOK], length 0
21:18:05.555081 IP 192.168.1.23.ssh > 192.168.1.100.61883: Flags [S.], seq 281122195, ack 919487422, win 14600, options [mss 1460,nop,nop,sackOK,nop,wscale 6], length 0
21:18:05.555379 IP 192.168.1.100.61883 > 192.168.1.23.ssh: Flags [.], ack 281122196, win 256, length 0
3 packets captured
3 packets received by filter
0 packets dropped by kernel
tshark -w filename -i eth0 -q
-w 将抓包的数据写入文件filename中
-i 指定要抓包的接口名称
tshark -r filename
-r 指定要读取的包文件
-V 将包尽可能的解析（这个有时在包数量很多的情况下可以不使用，这样它会给出一个很简洁的报文解释）
