【tcpdump】`tcpdump` 是一款在 Linux 和 Unix 系统中广泛使用的命令行网络抓包工具，主要用于实时捕获和分析网络流量。它能够对网络接口上的数据包进行过滤、记录和显示，帮助系统管理员或开发人员诊断网络问题、分析协议行为以及进行安全审计。
`tcpdump` 的强大之处在于其灵活性和强大的过滤功能，用户可以通过指定不同的条件（如 IP 地址、端口号、协议类型等）来精确控制抓包内容。此外，它支持将捕获的数据包保存为文件，以便后续使用 `Wireshark` 或其他工具进行进一步分析。
尽管 `tcpdump` 功能强大，但它的使用门槛相对较高，需要一定的网络知识和命令行操作经验。对于初学者来说，建议先从简单的命令开始，逐步掌握更复杂的用法。
表格：tcpdump 常用命令与功能说明
| 命令示例 | 功能说明 |
| `tcpdump` | 捕获所有网络接口上的数据包，直到手动停止（Ctrl+C） |
| `tcpdump -i eth0` | 在指定接口（如 eth0）上捕获数据包 |
| `tcpdump -n` | 不解析主机名和端口号，加快输出速度 |
| `tcpdump -nn` | 不解析主机名和端口号，避免 DNS 查询 |
| `tcpdump port 80` | 捕获所有使用 80 端口的流量（HTTP） |
| `tcpdump src 192.168.1.1` | 捕获源地址为 192.168.1.1 的数据包 |
| `tcpdump dst 192.168.1.2` | 捕获目标地址为 192.168.1.2 的数据包 |
| `tcpdump tcp` | 捕获所有 TCP 协议的数据包 |
| `tcpdump udp` | 捕获所有 UDP 协议的数据包 |
| `tcpdump -w output.pcap` | 将捕获的数据包保存到文件 output.pcap 中 |
| `tcpdump -r output.pcap` | 从文件中读取并显示之前捕获的数据包 |
注意事项：
- 使用 `tcpdump` 需要 root 权限（通常使用 `sudo`）。
- 抓包过程中可能会产生大量数据，建议合理设置过滤条件以减少资源消耗。
- 捕获的 `.pcap` 文件可以使用 Wireshark、tshark 等工具进行图形化分析。
通过合理使用 `tcpdump`，你可以高效地监控和分析网络行为，是网络调试和安全分析中不可或缺的工具之一。