tcpdump命令用于倾倒网络传输数据，可列出经过指定网络界面的数据包文件头，执行该命令必须要有root权限。

语法

tcpdump [-adeflnNOpqStvx][-c<数据包数目>][-dd][-ddd][-F<表达文件>][-i<网络界面>][-r<数据包文件>][-s<数据包大小>][-tt][-T<数据包类型>][-vv][-w<数据包文件>][输出数据栏位]

参数说明：
-a 尝试将网络和广播地址转换成名称。
-c<数据包数目> 收到指定的数据包数目后，就停止进行倾倒操作。
-d 把编译过的数据包编码转换成可阅读的格式，并倾倒到标准输出。
-dd 把编译过的数据包编码转换成C语言的格式，并倾倒到标准输出。
-ddd 把编译过的数据包编码转换成十进制数字的格式，并倾倒到标准输出。
-e 在每列倾倒资料上显示连接层级的文件头。
-f 用数字显示网际网络地址。
-F<表达文件> 指定内含表达方式的文件。
-i<网络界面> 使用指定的网络截面送出数据包。
-l 使用标准输出列的缓冲区。
-n 不把主机的网络地址转换成名字。
-N 不列出域名。
-O 不将数据包编码最佳化。
-p 不让网络界面进入混杂模式。
-q 快速输出，仅列出少数的传输协议信息。
-r<数据包文件> 从指定的文件读取数据包数据。
-s<数据包大小> 设置每个数据包的大小。
-S 用绝对而非相对数值列出TCP关联数。
-t 在每列倾倒资料上不显示时间戳记。
-tt 在每列倾倒资料上显示未经格式化的时间戳记。
-T<数据包类型> 强制将表达方式所指定的数据包转译成设置的数据包类型。
-v 详细显示指令执行过程。
-vv 更详细显示指令执行过程。
-x 用十六进制字码列出数据包资料。
-w<数据包文件> 把数据包数据写入指定的文件。

实例

1.详细显示TCP包信息

jayce@jayce-virtual-machine:~$ sudo tcpdump -vv
tcpdump: listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes
20:08:00.699777 IP (tos 0x0, ttl 64, id 27331, offset 0, flags [DF], proto TCP (6), length 152)jayce-virtual-machine.37252 > 7.177.220.60.adsl-pool.sx.cn.https: Flags [P.], cksum 0x599f (incorrect -> 0xcf9d), seq 3260573664:3260573776, ack 48952714, win 65535, length 112
20:08:00.700087 IP (tos 0x0, ttl 128, id 22016, offset 0, flags [none], proto TCP (6), length 40)7.177.220.60.adsl-pool.sx.cn.https > jayce-virtual-machine.37252: Flags [.], cksum 0xa571 (correct), seq 1, ack 112, win 64240, length 0
20:08:00.700881 IP (tos 0x0, ttl 64, id 35260, offset 0, flags [DF], proto UDP (17), length 71)jayce-virtual-machine.45924 > _gateway.domain: [bad udp cksum 0xd620 -> 0x4aa7!] 15135+ PTR? 7.177.220.60.in-addr.arpa. (43)
20:08:00.742961 IP (tos 0x0, ttl 128, id 22017, offset 0, flags [none], proto TCP (6), length 1400)7.177.220.60.adsl-pool.sx.cn.https > jayce-virtual-machine.37252: Flags [P.], cksum 0xdb7a (correct), seq 1:1361, ack 112, win 64240, length 1360
20:08:00.742986 IP (tos 0x0, ttl 64, id 27332, offset 0, flags [DF], proto TCP (6), length 40)jayce-virtual-machine.37252 > 7.177.220.60.adsl-pool.sx.cn.https: Flags [.], cksum 0x592f (incorrect -> 0x9b12), seq 112, ack 1361, win 65535, length 0
20:08:00.743110 IP (tos 0x0, ttl 128, id 22018, offset 0, flags [none], proto TCP (6), length 6840)7.177.220.60.adsl-pool.sx.cn.https > jayce-virtual-machine.37252: Flags [P.], cksum 0x73bf (incorrect -> 0x1eea), seq 1361:8161, ack 112, win 64240, length 6800
20:08:00.743113 IP (tos 0x0, ttl 128, id 22023, offset 0, flags [none], proto TCP (6), length 1400)7.177.220.60.adsl-pool.sx.cn.https > jayce-virtual-machine.37252: Flags [P.], cksum 0x0416 (correct), seq 8161:9521, ack 112, win 64240, length 1360
20:08:00.888547 IP (tos 0x0, ttl 64, id 35303, offset 0, flags [DF], proto UDP (17), length 72)jayce-virtual-machine.60351 > _gateway.domain: [bad udp cksum 0xd621 -> 0xc768!] 45215+ PTR? 2.170.168.192.in-addr.arpa. (44)
20:08:00.923597 IP (tos 0x0, ttl 128, id 22088, offset 0, flags [none], proto UDP (17), length 106)_gateway.domain > jayce-virtual-machine.60351: [udp sum ok] 45215 NXDomain q: PTR? 2.170.168.192.in-addr.arpa. 0/1/0 ns: 2.170.168.192.in-addr.arpa. SOA . . 2016360 1800 900 604800 86400 (78)
^[^A20:08:04.037762 IP (tos 0x0, ttl 64, id 26078, offset 0, flags [DF], proto TCP (6), length 79)

2.显示指定数量包

jayce@jayce-virtual-machine:~$ sudo tcpdump -c 20
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes20:08:59.409796 IP jayce-virtual-machine.35452 > _gateway.domain: 57160+ A? connectivity-check.ubuntu.com. (47)
20:08:59.410035 IP jayce-virtual-machine.48539 > _gateway.domain: 64022+ AAAA? connectivity-check.ubuntu.com. (47)
20:08:59.410910 IP jayce-virtual-machine.35691 > _gateway.domain: 41874+ PTR? 2.170.168.192.in-addr.arpa. (44)
20:08:59.431140 IP _gateway.domain > jayce-virtual-machine.48539: 64022 0/1/0 (134)
20:08:59.432420 IP _gateway.domain > jayce-virtual-machine.35691: 41874 NXDomain 0/1/0 (78)
20:08:59.432422 IP _gateway.domain > jayce-virtual-machine.35452: 57160 3/0/0 A 35.232.111.17, A 35.224.170.84, A 34.122.121.32 (182)
20:08:59.433064 IP jayce-virtual-machine.36013 > _gateway.domain: 36005+ PTR? 136.170.168.192.in-addr.arpa. (46)
20:09:00.410602 IP jayce-virtual-machine.42520 > 17.111.232.35.bc.googleusercontent.com.http: Flags [S], seq 592400706, win 64240, options [mss 1460,sackOK,TS val 3801566753 ecr 0,nop,wscale 7], length 0
20:09:00.411110 IP jayce-virtual-machine.41750 > _gateway.domain: 8768+ PTR? 17.111.232.35.in-addr.arpa. (44)
20:09:00.633281 IP 17.111.232.35.bc.googleusercontent.com.http > jayce-virtual-machine.42520: Flags [S.], seq 807148971, ack 592400707, win 64240, options [mss 1460], length 0
20:09:00.633332 IP jayce-virtual-machine.42520 > 17.111.232.35.bc.googleusercontent.com.http: Flags [.], ack 1, win 64240, length 0
20:09:00.633435 IP jayce-virtual-machine.42520 > 17.111.232.35.bc.googleusercontent.com.http: Flags [P.], seq 1:88, ack 1, win 64240, length 87: HTTP: GET / HTTP/1.1
20:09:00.633667 IP 17.111.232.35.bc.googleusercontent.com.http > jayce-virtual-machine.42520: Flags [.], ack 88, win 64240, length 0
20:09:00.855193 IP 17.111.232.35.bc.googleusercontent.com.http > jayce-virtual-machine.42520: Flags [FP.], seq 1:149, ack 88, win 64240, length 148: HTTP: HTTP/1.1 204 No Content