Linux抓包命令（學習）__Linux

 tcpdump 的抓包儲存到檔案的命令參數是-w xxx.cap

抓eth1的包
tcpdump -i eth1 -w /tmp/xxx.cap

抓 192.168.1.123的包
tcpdump -i eth1 host 192.168.1.123 -w /tmp/xxx.cap

抓192.168.1.123的80連接埠的包
tcpdump -i eth1 host 192.168.1.123 and port 80 -w /tmp/xxx.cap

抓192.168.1.123的icmp的包
tcpdump -i eth1 host 192.168.1.123 and icmp -w /tmp/xxx.cap

抓192.168.1.123的80連接埠和110和25以外的其他連接埠的包
tcpdump -i eth1 host 192.168.1.123 and ! port 80 and ! port 25 and ! port 110 -w /tmp/xxx.cap

抓vlan 1的包
tcpdump -i eth1 port 80 and vlan 1 -w /tmp/xxx.cap

抓pppoe的密碼
tcpdump -i eth1 pppoes -w /tmp/xxx.cap



以100m大小分割儲存檔案， 超過100m另開一個檔案 -C 100m

抓10000個包後退出 -c 10000


後台抓包， 控制台退出也不會影響：
nohup tcpdump -i eth1 port 110 -w /tmp/xxx.cap &

抓下來的檔案可以直接用ethereal 或者wireshark開啟。 wireshark就是新版的ethereal，程式換名了