語法：
tcpdump [-adeflnNOpqStvx][-c<數據包數目>][-dd][-ddd][-F<表達文件>][-i<網絡界面>][-r<數據包文件>][-s<數據包大小>][-tt][-T<數據包類型>][-vv][-w<數據包文件>][輸出數據欄位]
參數：
-A 以ASCII格式打印出所有分組，并將鏈路層的頭最小化。
-c 在收到指定的數量的分組后，tcpdump就會停止。
-C 在將一個原始分組寫入文件之前，檢查文件當前的大小是否超過了參數file_size 中指定的大小。如果超過了指定大小，則關閉當前文件，然后在打開一個新的文件。參數 file_size 的單位是兆字節（是1,000,000字節，而不是1,048,576字節）。
-d 將匹配信息包的代碼以人們能夠理解的匯編格式給出。
-dd 將匹配信息包的代碼以C語言程序段的格式給出。
-ddd 將匹配信息包的代碼以十進制的形式給出。
-D 打印出系統中所有可以用tcpdump截包的網絡接口。
-e 在輸出行打印出數據鏈路層的頭部信息。
-E 用spi@ipaddr algo:secret解密那些以addr作為地址，并且包含了安全參數索引值spi的IPsec ESP分組。
-f 將外部的Internet地址以數字的形式打印出來。
-F 從指定的文件中讀取表達式，忽略命令行中給出的表達式。
-i 指定監聽的網絡接口。
-l 使標準輸出變為緩沖行形式，可以把數據導出到文件。
-L 列出網絡接口的已知數據鏈路。
-m 從文件module中導入SMI MIB模塊定義。該參數可以被使用多次，以導入多個MIB模塊。
-M 如果tcp報文中存在TCP-MD5選項，則需要用secret作為共享的驗證碼用于驗證TCP-MD5選選項摘要（詳情可參考RFC 2385）。
-b 在數據-鏈路層上選擇協議，包括ip、arp、rarp、ipx都是這一層的。
-n 不把網絡地址轉換成名字。
-nn 不進行端口名稱的轉換。
-N 不輸出主機名中的域名部分。例如，‘nic.ddn.mil‘只輸出’nic‘。
-t 在輸出的每一行不打印時間戳。
-O 不運行分組分組匹配（packet-matching）代碼優化程序。
-P 不將網絡接口設置成混雜模式。
-q 快速輸出。只輸出較少的協議信息。
-r 從指定的文件中讀取包(這些包一般通過-w選項產生)。
-S 將tcp的序列號以絕對值形式輸出，而不是相對值。
-s 從每個分組中讀取最開始的snaplen個字節，而不是默認的68個字節。
-T 將監聽到的包直接解釋為指定的類型的報文，常見的類型有rpc遠程過程調用）和snmp（簡單網絡管理協議；）。
-t 不在每一行中輸出時間戳。
-tt 在每一行中輸出非格式化的時間戳。
-ttt 輸出本行和前面一行之間的時間差。
-tttt 在每一行中輸出由date處理的默認格式的時間戳。
-u將分 輸出未解碼的NFS句柄。
-v 輸出一個稍微詳細的信息，例如在ip包中可以包括ttl和服務類型的信息。
-vv 輸出詳細的報文信息。
-w 直接組寫入文件中，而不是不分析并打印出來。
示例：
1, 獲取10.2.3.4的主機收到的和發出的所有數據包
tcpdump host 10.2.3.4
2， 獲取主機10.2.3.4和主機10.2.3.5或10.2.3.6的數據包
tcpdump host 10.2.3.4 and （10.2.3.5 or 10.2.3.6 ）
3，獲取主機10.2.3.4除了和主機10.2.3.5之外所有主機通信的ip包
tcpdump ip host 10.2.3.4 and ! 10.2.3.5
4，獲取主機10.2.3.4接收或發出的telnet包
tcpdump tcp port 23 host 10.2.3.4
5，對本機的UDP 123 端口進行監視（123為ntp的服務端口）
tcpdump udp port 123
6，對名為hostname的主機的通信數據包進行監視，主機名可本機或他機。
tcpdump -i eth0 src host hostname
7，監視所有送到主機hostname的數據包
tcpdump -i eth0 dst host hostname
8，監視通過指定的網關的數據包
tcpdump -i eth0 gateway gatewayname
9，獲取主機192.168.228.246接收或發出的ssh包，并且不轉換主機名
tcpdump -nn -n src host 192.168.228.246 and port 22 and tcp
10，獲取主機192.168.228.246接收或發出的ssh包，并把mac地址也一同顯示
tcpdump -e src host 192.168.228.246 and port 22 and tcp -n -nn
11，過濾的是源主機為192.168.0.1與目的網絡為192.168.0.0的報頭
tcpdump src host 192.168.0.1 and dst net 192.168.0.0/24
12，過濾源主機物理地址為XXX的報頭
tcpdump ether src 00:50:04:BA:9B and dst……
13，過濾源主機192.168.0.1和目的端口不是telnet的報頭，并導入到tes.t.txt文件中
Tcpdump src host 192.168.0.1 and dst port not telnet -l > test.txt
14，監聽來自eth0適配卡且通信協議為port 22，目標來源為192.168.1.100的數據包
tcpdump -i eth0 -nn port 22 and src host 192.168.1.100
15，獲取訪問eth0適配卡且訪問端口為tcp 9080
tcpdump -i eth0 dst 172.168.70.35 and tcp port 9080
16，抓取與主機192.168.43.23或著與主機192.168.43.24通信報文，并且顯示在控制臺上
tcpdump -X -s 1024 -i eth0 host (192.168.43.23 or 192.168.43.24) and host 172.16.70.35
17，捕獲92.168.43.23接收或發送的HTTP包，將其生成詳細報告
tcpdump tcp port 80 and host 92.168.43.23 -w /clouddragonData/test.pcap
18，監控80上的數據包
tcpdump tcp port 80 -s 0 -w /clouddragonData/test.pcap
