捕获数据包并保存在文件中

正如我们所说，tcpdump具有捕获并以.pcap格式保存文件的功能，只需执行带有-w选项的命令即可。

# tcpdump -w 0001.pcap -i eth0

tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
4 packets captured
4 packets received by filter
0 packets dropped by kerne

捕获 IP 地址数据包

要捕获特定接口的数据包，请运行以下命令并附带选项-n。

# tcpdump -n -i eth0

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes

仅捕获 TCP 数据包。

要基于TCP端口捕获数据包，请运行以下命令并附带选项tcp。

# tcpdump -i eth0 tcp

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes

捕获特定端口的数据包

假设您想要捕获特定端口 22 的数据包，请通过指定端口号22执行以下命令

# tcpdump -i eth0 port 22

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes

捕获指定源 IP 的数据包

要从源IP捕获数据包，假设您要捕获192.168.0.2的数据包，请使用以下命令。

# tcpdump -i eth0 src 192.168.0.2

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes

从目标 IP 捕获数据包

要从目标IP捕获数据包，假设您要捕获50.116.66.139的数据包，请使用以下命令。

# tcpdump -i eth0 dst 50.116.66.139

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes