tcpdump采用命令行方式，它的命令格式为：
　　tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ]
　　　　　　　　　　[ -i 网络接口 ] [ -r 文件名] [ -s snaplen ]
　　　　　　　　　　[ -T 类型 ] [ -w 文件名 ] [表达式 ]

　　1. tcpdump的选项介绍
　　　-a 　　　将网络地址和广播地址转变成名字；
　　　-d 　　　将匹配信息包的代码以人们能够理解的汇编格式给出；
　　　-dd 　　　将匹配信息包的代码以c语言程序段的格式给出；
　　　-ddd 　　　将匹配信息包的代码以十进制的形式给出；
　　　-e 　　　在输出行打印出数据链路层的头部信息；
　　　-f 　　　将外部的Internet地址以数字的形式打印出来；
　　　-l 　　　使标准输出变为缓冲行形式；
　　　-n 　　　不把网络地址转换成名字；
　　　-t 　　　在输出的每一行不打印时间戳；
　　　-v 　　　输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；
　　　-vv 　　　输出详细的报文信息；
　　　-c 　　　在收到指定的包的数目后，tcpdump就会停止；
　　　-F 　　　从指定的文件中读取表达式,忽略其它的表达式；
　　　-i 　　　指定监听的网络接口；
　　　-r 　　　从指定的文件中读取包(这些包一般通过-w选项产生)；
　　　-w 　　　直接将包写入文件中，并不分析和打印出来；
　　　-T 　　　将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程
调用）和snmp（简单　　　　　　　网络管理协议；）

　　2. tcpdump的表达式介绍
　　　表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表
达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会
被截获。
　　　在表达式中一般如下几种类型的关键字，一种是关于类型的关键字，主要包括host，
net，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明
202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是
host.
　　　第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,
这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ,指明ip包中源地址是210.27.
48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果没有指明方向关键字，则
缺省是src or dst关键字。
　　　第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型。Fddi指明是在
FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是"ether"的别名，fddi和e
ther具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。
其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会
监听所有协议的信息包。
　　　除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,
greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'o
r' ,'||'；
　　　这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来
说明。
　　　(1)想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包：
　　　　#tcpdump host 210.27.48.1
　　　(2) 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令
：（在命令行中适用　　　括号时，一定要
　　　　#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \)
　　　(3) 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包
，使用命令：
　　　　#tcpdump ip host 210.27.48.1 and ! 210.27.48.2
　　　(4)如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令：
　　　　#tcpdump tcp port 23 host 210.27.48.1
　3. tcpdump 的输出结果介绍
　　　下面我们介绍几种典型的tcpdump命令的输出信息
　　　(1) 数据链路层头信息
　　　使用命令#tcpdump --e host ice
　　　ice 是一台装有linux的主机，她的MAC地址是0：90：27：58：AF：1A
　　　H219是一台装有SOLARIC的SUN工作站，它的MAC地址是8：0：20：79：5B：46；上一条
命令的输出结果如下所示：
21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice.
telne
t 0:0(0) ack 22535 win 8760 (DF)
　　分析：21：50：12是显示的时间， 847509是ID号，eth0 <表示从网络接口eth0 接受该
数据包，eth0 >表示从网络接口设备发送数据包, 8:0:20:79:5b:46是主机H219的MAC地址,它
表明是从源地址H219发来的数据包. 0:90:27:58:af:1a是主机ICE的MAC地址,表示该数据包的
目的地址是ICE . ip 是表明该数据包是IP数据包,60 是数据包的长度, h219.33357 > ice.
telnet 表明该数据包是从主机H219的33357端口发往主机ICE的TELNET(23)端口. ack 22535
表明对序列号是222535的包进行响应. win 8760表明发送窗口的大小是8760.

　　(2) ARP包的TCPDUMP输出信息
　　　使用命令#tcpdump arp
　　　得到的输出结果是：
　　22:32:42.802509 eth0 > arp who-has route tell ice (0:90:27:58:af:1a)
　　22:32:42.802902 eth0 < arp reply route is-at 0:90:27:12:10:66 (0:90:27:58:af
:1a)
　　分析: 22:32:42是时间戳, 802509是ID号, eth0 >表明从主机发出该数据包, arp表明是
ARP请求包, who-has route tell ice表明是主机ICE请求主机ROUTE的MAC地址。 0:90:27:5
8:af:1a是主机ICE的MAC地址。

　　(3) TCP包的输出信息
　　　用TCPDUMP捕获的TCP包的一般输出信息是：
　　src > dst: flags data-seqno ack window urgent options
　　src > dst:表明从源地址到目的地址, flags是TCP包中的标志信息,S 是SYN标志, F (F
IN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是
下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针.
Options是选项.

　　(4) UDP包的输出信息
　　　用TCPDUMP捕获的UDP包的一般输出信息是：
　　route.port1 > ice.port2: udp lenth
　　UDP十分简单，上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机
ICE的port2端口，类型是UDP， 包的长度是lenth

本文来自: (www.91linux.com) 详细出处参考：http://www.91linux.com/html/article/cmd/20090303/15902_2.html

来源: ChinaUnix博客 　日期： 2007.09.05 14:07　(共有0条评论) 我要评论

今天在CU上看到一篇关于Tcpdump的好文，原文作者jeffyan，转载留档，并与大家共享 第一种是关于类型的关键字，主要包括host，net，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明 202.0.0.0是一个网络地址，port 23 指明端口号是23。如果没有指定类型，缺省的类型是host. 第二种是确定传输方向 的关键字，主要包括src , dst ,dst or src, dst and src ,这些关键字指明了传输的方向。举例说明，src 210.27.48.2 ,指明ip包中源地址是210.27.48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。如果没有指明方向关键字，则缺省是src or dst关键字。 第三种是协议的关键字，主要包 括fddi,ip,arp,rarp,tcp,udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是 "ether"的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。其他的几个关键字 就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。     除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'or' ,'││'；这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来说明。     普通情况下，直接启动tcpdump将监视第一个网络界面上所有流过的数据包。 # tcpdump tcpdump: listening on fxp0 11:58:47.873028 202.102.245.40.netbios-ns > 202.102.245.127.netbios-ns: udp 50 11:58:47.974331 0:10:7b:8:3a:56 > 1:80:c2:0:0:0 802.1d ui/C len=43                          0000 0000 0080 0000 1007 cf08 0900 0000                          0e80 0000 902b 4695 0980 8701 0014 0002                          000f 0000 902b 4695 0008 00 11:58:48.373134 0:0:e8:5b:6d:85 > Broadcast sap e0 ui/C len=97                          ffff 0060 0004 ffff ffff ffff ffff ffff                          0452 ffff ffff 0000 e85b 6d85 4008 0002                          0640 4d41 5354 4552 5f57 4542 0000 0000                          0000 00 使用-i参数指定tcpdump监听的网络界面，这在计算机具有多个网络界面时非常有用， 使用-c参数指定要监听的数据包数量， 使用-w参数指定将监听到的数据包写入文件中保存    A想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包： #tcpdump host 210.27.48.1 B想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令：（在命令行中适用　　　括号时，一定要 #tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \) C如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令： #tcpdump ip host 210.27.48.1 and ! 210.27.48.2 D如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令： #tcpdump tcp port 23 host 210.27.48.1 E 对本机的udp 123 端口进行监视 123 为ntp的服务端口 # tcpdump udp port 123    F 系统将只对名为hostname的主机的通信数据包进行监视。主机名可以是本地主机，也可以是网络上的任何一台计算机。下面的命令可以读取主机hostname发送的所有数据： #tcpdump -i eth0 src host hostname G 下面的命令可以监视所有送到主机hostname的数据包： #tcpdump -i eth0 dst host hostname H  我们还可以监视通过指定网关的数据包： #tcpdump -i eth0 gateway Gatewayname I 如果你还想监视编址到指定端口的TCP或UDP数据包，那么执行以下命令： #tcpdump -i eth0 host hostname and port 80 J 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包 ，使用命令： #tcpdump ip host 210.27.48.1 and ! 210.27.48.2 K 想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令 ：（在命令行中适用　　　括号时，一定要 #tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \) L 如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令： 　　　#tcpdump ip host 210.27.48.1 and ! 210.27.48.2 M 如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令： 　　　#tcpdump tcp port 23 host 210.27.48.1 第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型 除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less, greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'o r' ,'||'； 第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src , 如果我们只需要列出送到80端口的数据包，用dst port；如果我们只希望看到返回80端口的数据包，用src port。 #tcpdump –i eth0 host hostname and dst port 80  目的端口是80 或者 #tcpdump –i eth0 host hostname and src port 80  源端口是80  一般是提供http的服务的主机 如果条件很多的话  要在条件之前加and 或 or 或 not #tcpdump -i eth0 host ! 211.161.223.70 and ! 211.161.223.71 and dst port 80 如果在ethernet 使用混杂模式 系统的日志将会记录 May  7 20:03:46 localhost kernel: eth0: Promiscuous mode enabled. May  7 20:03:46 localhost kernel: device eth0 entered promiscuous mode May  7 20:03:57 localhost kernel: device eth0 left promiscuous mode tcpdump 对截获的数据并没有进行彻底解码，数据包内的大部分内容是使用十六进制的形式直接打印输出的。显然这不利于分析网络故障，通常的解决办法是先使用带-w参 数的tcpdump 截获数据并保存到文件中，然后再使用其他程序进行解码分析。当然也应该定义过滤规则，以避免捕获的数据包填满整个硬盘。                                                 本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u/13177/showart_374724.html

嵌入式Linux操作系统学习规划
ARM+LINUX路线，主攻嵌入式Linux操作系统及其上应用软件开发目标： 
（1） 掌握主流嵌入式微处理器的结构与原理（初步定为arm9） 
（2） 必须掌握一个嵌入式操作系统 （初步定为uclinux或linux,版本待定） 
（3） 必须熟悉嵌入式软件开发流程并至少做一个嵌入式软件项目。 
从事嵌入式软件开发的好处是： 
（1）目前国内外这方面的人都很稀缺。这一领域入门门槛较高，所以非专业IT人员很难切入这一领域；另一方面，是因为这一领域较新，目前发展太快，大多数人无条件接触。 
（2）与企业计算等应用软件不同，嵌入式领域人才的工作强度通常低一些（但收入不低）。 
（3）哪天若想创业，搞自已的产品，嵌入式不像应用软件那样容易被盗版。硬件设计一般都是请其它公司给订做（这叫“贴牌”：OEM），都是通用的硬件，我们只管设计软件就变成自己的产品了。 
（4）兴趣所在，这是最主要的。 
从事嵌入式软件开发的缺点是： 
（1）入门起点较高，所用到的技术往往都有一定难度，若软硬件基础不好，特别是操作系统级软件功底不深，则可能不适于此行。 
（2）这方面的企业数量要远少于企业计算类企业。 
（3）有少数公司经常要硕士以上的人搞嵌入式，主要是基于嵌入式的难度。但大多数公司也并无此要求，只要有经验即可。 
（4）平台依托强，换平台比较辛苦。 
兴趣的由来： 
1、成功观念不同，不虚度此生，就是我的成功。 
2、喜欢思考，挑战逻辑思维。 
3、喜欢C 
C是一种能发挥思维极限的语言。关于C的精神的一些方面可以被概述成短句如下： 
相信程序员。 
不要阻止程序员做那些需要去做的。 
保持语言短小精干。 
一种方法做一个操作。 
使得它运行的够快，尽管它并不能保证将是可移植的。 
4、喜欢底层开发，讨厌vb类开发工具（并不是说vb不好）。 
5、发展前景好，适合创业，不想自己要死了的时候还是一个工程师。 
方法步骤： 
1、基础知识： 
目的：能看懂硬件工作原理，但重点在嵌入式软件，特别是操作系统级软件，那将是我的优势。 
科目：数字电路、计算机组成原理、嵌入式微处理器结构。 
汇编语言、C/C++、编译原理、离散数学。 
数据结构和算法、操作系统、软件工程、网络、数据库。 
方法：虽科目众多，但都是较简单的基础，且大部分已掌握。不一定全学，可根据需要选修。 
主攻书籍：the c++ programming language（一直没时间读）、数据结构-C2。 

2、学习linux： 
目的：深入掌握linux系统。 
　　　方法：使用linux—〉linxu系统编程开发—〉驱动开发和分析linux内核。先看深，那主讲原理。看几遍后，看情景分析，对照深看，两本交叉，深是纲，情是目。剖析则是0.11版，适合学习。最后深入代码。 
主攻书籍：linux内核完全剖析、unix环境高级编程、深入理解linux内核、情景分析和源代。 
3、学习嵌入式linux： 
目的：掌握嵌入式处理器其及系统。 
方法：（1）嵌入式微处理器结构与应用：直接arm原理及汇编即可，不要重复x86。 
　　　（2）嵌入式操作系统类：ucOS/II简单，开源，可供入门。而后深入研究uClinux。 
　　　（3）必须有块开发板（arm9以上），有条件可参加培训（进步快，能认识些朋友）。 
　　　主攻书籍：毛德操的《嵌入式系统》及其他arm9手册与arm汇编指令等。 

4、深入学习： 
　　　A、数字图像压缩技术：主要是应掌握MPEG、mp3等编解码算法和技术。 
　　　B、通信协议及编程技术：TCP/IP协议、802.11，Bluetooth，GPRS、GSM、CDMA等。 
　　　C、网络与信息安全技术：如加密技术，数字证书CA等。 
　　　D、DSP技术：Digital Signal Process，DSP处理器通过硬件实现数字信号处理算法。 
　　　说明：太多细节未说明，可根据实际情况调整。重点在于1、3，不必完全按照顺序作。对于学习c++，理由是c++不只是一种语言，一种工具，她还是一种艺术，一种文化，一种哲学理念、但不是拿来炫耀得东西。对于linux内核，学习编程，读一些优秀代码也是有必要的。 
　　　注意：　要学会举一反多，有强大的基础，很多东西简单看看就能会。想成为合格的程序员，前提是必须熟练至少一种编程语言，并具有良好的逻辑思维。一定要理论结合实践。 
　　　不要一味钻研技术，虽然挤出时间是很难做到的，但还是要留点余地去完善其他的爱好，比如宇宙，素描、机械、管理，心理学、游戏、科幻电影。还有一些不愿意做但必须要做的！ 
　　　技术是通过编程编程在编程编出来的。永远不要梦想一步登天，不要做浮躁的人，不要觉得路途漫上。而是要编程编程在编程，完了在编程，在编程！等机会来了在创业（不要相信有奇迹发生，盲目创业很难成功，即便成功了发展空间也不一定很大）。 

　　　嵌入式书籍推荐 
　　　Linux基础 
　　　1、《Linux与Unix Shell 编程指南》 
　　　C语言基础 
　　　1、《C Primer Plus，5th Edition》【美】Stephen Prata着 
　　　2、《The C Programming Language, 2nd Edition》【美】Brian W. Kernighan David M. Rithie（K & R）着 
　　　3、《Advanced Programming in the UNIX Environment，2nd Edition》（APUE） 
　　　4、《嵌入式Linux应用程序开发详解》 
　　　Linux内核 
　　　1、《深入理解Linux内核》（第三版） 
　　　2、《Linux内核源代码情景分析》毛德操 胡希明著 
　　　研发方向 
　　　1、《UNIX Network Programming》（UNP） 
　　　2、《TCP/IP详解》 
　　　3、《Linux内核编程》 
　　　4、《Linux设备驱动开发》（LDD）　 
　　　5、《Linux高级程序设计》 杨宗德著
　　　硬件基础 
　　　1、《ARM体系结构与编程》杜春雷着 
　　　2、S3C2410 Datasheet 
　　　英语基础 
　　　1、《计算机与通信专业英语》 
　　　系统教程 
　　　1、《嵌入式系统――体系结构、编程与设计》 
　　　2、《嵌入式系统――采用公开源代码和StrongARM/Xscale处理器》毛德操 胡希明着 
　　　3、《Building Embedded Linux Systems》　　　
　　　4、《嵌入式ARM系统原理与实例开发》 杨宗德著
　　　理论基础 
　　　1、《算法导论》 
　　　2、《数据结构（C语言版）》 
　　　3、《计算机组织与体系结构?性能分析》 
　　　4、《深入理解计算机系统》【美】Randal E. Bryant David O''Hallaron着 
　　　5、《操作系统：精髓与设计原理》 
　　　6、《编译原理》 
　　　7、《数据通信与计算机网络》 
　　　8、《数据压缩原理与应用》 

　　　C语言书籍推荐 
　　　1. The C programming language 《Ｃ程序设计语言》 
　　　2. Pointers on C 《Ｃ和指针》 
　　　3. C traps and pitfalls 《Ｃ陷阱与缺陷》 
　　　4. Expert C Lanuage 《专家Ｃ编程》 
　　　5. Writing Clean Code -----Microsoft Techiniques for Developing Bug-free C Programs 
　　　《编程精粹--Microsoft 编写优质无错Ｃ程序秘诀》 
　　　6. Programming Embedded Systems in C and C++ 《嵌入式系统编程》 
　　　7.《C语言嵌入式系统编程修炼》 
　　　8.《高质量C++/C编程指南》林锐 
　　　尽可能多的编码，要学好C，不能只注重C本身。算法，架构方式等都很重要。