在 Linux/Unix 网络世界里，tcpdump 是当之无愧的 “抓包神器”。自 1987 年诞生以来，这款比万维网还年长 4 岁的工具，至今仍是工程师排查网络故障、分析协议交互的必备利器。它能像监控摄像头般实时捕获流经网卡的数据包，将二进制数据转化为可读信息，堪称网络调试的 “瑞士军刀”。

一、核心参数速览：抓包先懂 “开关”

tcpdump 的强大，始于对参数的灵活运用。掌握这些核心参数，能让你从 “盲目抓包” 进阶为 “精准捕获”。

• -i：指定网卡
  最常用的参数之一，-i eth0表示只抓 eth0 网卡的数据包，-i any则监听所有接口（适合多网卡场景）。新手常犯的错误是忘记指定网卡，导致抓不到目标流量。
• -c：控制抓包数量
  用-c 100可在捕获 100 个包后自动停止，避免日志文件过大。排查瞬时故障时，搭配-c 1能快速抓取单个关键数据包。
• -s：设置抓包长度
  默认只抓前 68 字节，-s 0则捕获完整数据包（推荐分析应用层数据时使用）。例如抓取 HTTP 明文内容，必须用-s 0才能获取完整的请求 / 响应体。
• -w/-r：文件操作
  -w capture.pcap将数据包保存为 pcap 文件（可后续用 Wireshark 分析），-r capture.pcap则用于读取已保存的文件。注意保存时加-U参数可实时写入磁盘，适合长期监控。
• -n/-nn：禁用解析，提速显真容
  -n禁用域名解析（直接显示 IP），-nn进一步禁用端口名解析（显示 80 而非 http）。在高流量场景下，这两个参数能大幅提升抓包效率，避免解析耗时。
• -A/-X：内容可视化
  -A以 ASCII 格式显示数据包内容（适合看 HTTP 明文），-X则同时展示十六进制和 ASCII（适合分析二进制协议）。例如-nnA可直接查看 IP、端口和明文内容，排查 Web 请求异常时特别好用。

二、过滤表达式：精准定位目标流量

抓包的核心是 “过滤”—— 无用流量过多会干扰分析，学会表达式能让你直击要害。

1. 主机与端口过滤

• 抓指定主机：host 192.168.1.100（捕获与该主机相关的所有流量）。
• 限定网络：net 192.168.1.0/24（抓取整个网段的数据包）。
• 端口过滤：port 80或port http（抓取 80 端口流量），结合协议更精准，如tcp port 443只抓 HTTPS 的 TCP 包。

2. 协议与方向过滤

• 协议筛选：直接用协议名，如icmp（抓 ping 包）、udp（抓 DNS 等 UDP 流量）。
• 方向控制：src host 192.168.1.100（只抓源地址为该 IP 的包），dst port 22（只抓目标端口为 22 的 SSH 流量）。-Q in和-Q out可更直观控制入站 / 出站流量，例如-Q in tcp port 80只抓进入的 HTTP 请求。

3. 逻辑组合：复杂场景一网打尽

用and/or/not组合条件，例如：

• src host 192.168.1.1 and (dst port 80 or 443)：抓取来自 192.168.1.1 的 HTTP/HTTPS 流量。
• not icmp：排除 ICMP 包，专注分析其他协议。

三、实战场景：从故障排查到安全分析

1. 抓包并实时分析 HTTP 流量

bash

tcpdump -i eth0 -nnA -s0 'src host 192.168.1.100 and tcp port 80'

• 作用：捕获 192.168.1.100 发出的 HTTP 明文请求，-nn显示 IP 和端口，-A展示 ASCII 内容，-s0确保捕获完整数据。
• 适用场景：排查 Web 应用 404、500 错误，查看请求参数是否正确。

2. 监控 SSH 连接异常

bash

tcpdump -i eth0 -tttt -Q in 'tcp port 22'

• 作用：-tttt显示完整时间戳（如 2025-07-28 10:00:00），-Q in只看入站 SSH 流量，便于追踪暴力破解尝试。

3. 捕获 TCP 握手异常（SYN Flood 攻击排查）

bash

tcpdump -i eth0 -n 'tcp[tcpflags] & (tcp-syn) != 0 and tcp[tcpflags] & (tcp-ack) = 0'

• 原理：SYN 包是 TCP 握手的第一步，若大量出现 “只有 SYN、无 ACK” 的包，可能遭遇 SYN Flood 攻击。此命令可专门捕获这类异常包。

4. 长期保存 HTTPS 流量并自动压缩

bash

tcpdump -i eth0 -Q inout -nn 'host 192.168.1.100 and port 443' -C 100 -W 10 -w https_trace.pcap --time-stamp-precision nano -z gzip

• 细节：-C 100表示单个文件达 100MB 时自动分割，-W 10保留最近 10 个文件，-z gzip自动压缩旧文件，纳秒级时间戳确保时序准确。适合需要事后分析的加密流量场景。

5. 实时提取特定 IP 的 HTTP 报文

bash

tcpdump -i eth0 -l -A -s0 'port 80' | grep -i '192.168.1.100'

• 技巧：-l开启行缓冲模式，配合管道| grep可实时筛选含目标 IP 的 HTTP 内容，快速定位特定主机的 Web 交互。

四、冷知识与最佳实践

• 效率优化：抓包时尽量缩小范围（如限定网卡、端口），避免捕获无关流量消耗系统资源。
• 权限问题：tcpdump 需要 root 权限运行，普通用户可通过sudo执行。
• 跨工具协作：保存的 pcap 文件可导入 Wireshark 可视化分析，结合tshark（命令行版 Wireshark）能实现更复杂的批量处理。

tcpdump 的魅力在于 “简单却强大”—— 一行命令就能看透网络的每一个细节。从新手到资深工程师，掌握它的实战技巧，能让你在网络调试中事半功倍。下次遇到网络故障时，不妨打开终端，输入tcpdump，让这个 30 多年的 “老伙计” 帮你拨开迷雾。

感谢关注【AI码力】，获取更多IT秘籍！