我们使用Linux服务器，有些时候需要抓取其中的数据包进行分析攻击的类型以及特征，这样就可以根据特征在防火墙上面进行拦截防护了，在Linux的命令行里边我们需要借助tcpdump软件进行抓包，下面小编与大家分享一下tcpdump的使用，希望对大家有所帮助，谢谢。
3、如果忘记了这个软件的用法，我们可以使用 tcpdump --help 来查看一下使用方法
4、一般我们的服务器里边只有一个网卡，使用tcpdump可以直接抓取数据包，但是这样查看太麻烦了，所以都会添加参数来进行获取的。
使用还是比较简单的，可以考虑把数据包保存再拷出来，然后用wireshark进行图形查看更好理解。
tcpdump是一个Sniffer工具，实际上就是一个网络上的抓包工具，同时还可以对抓到的包进行分析。一般系统都默认安装。
-T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程 调用）和snmp（简单网络管理协议；）
-s 设置抓包大小限制，默认抓包大小限制在96个BYTE（包括以太网帧）。修改参数为：-s 0。0 则忽略包的大小限制，按包的长度实际长度抓取。
表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会被截获。在表达式中一般如下几种类型的关键字。
第三种是协议的关键字，主要包括fddi,ip,arp,rarp,tcp,udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是”ether”的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。
B）想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令：（在命令行中使用 括号时，一定要转义）
C）如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：
ice 是一台装有linux的主机，她的MAC地址是0：90：27：58：AF：1A，H219是一台装有SOLARIC的SUN工作站，它的MAC地址是8：0：20：79：5B：46；上一条命令的输出结果如下所示：
UDP十分简单，上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机ICE的port2端口，类型是UDP， 包的长度是lenth。
