tcpdump

定义

tcpdump 是类 Unix 系统上历史悠久的命令行抓包工具,依赖 libpcap 库从网络接口捕获数据包,并按协议解析显示。Wireshark 等图形化分析器与它共用同一抓包库和过滤语法。

原理

tcpdump 通过内核的包捕获接口复制流经网卡的数据帧,配合 BPF(伯克利包过滤器)在内核态先行过滤,只把匹配的包送到用户态,从而降低高流量下的开销。

常用用法

tcpdump -i eth0 port 80 抓取某接口的 HTTP 流量;tcpdump host 1.2.3.4 and tcp 组合过滤;-w file.pcap 保存为 pcap 文件供 Wireshark 离线分析;-n 禁用域名反解,-vv 显示更多细节。