| 用途 | 原始报文落盘（pcap 格式） |
|---|---|
| 语法 | tcpdump -w <文件> [选项] [过滤表达式] |
常用示例
常用示例
tcpdump -i eth0 -nn -s 0 -w /tmp/issue.pcap 'host 10.0.0.9 and port 443'
tcpdump -i any -w /tmp/all.pcap -G 300 -W 12 -z gzip默认 snaplen 未必等于完整报文，且各版本默认值不同；分析载荷时明确加 -s 0。
本包目录（400 条）
tcpdump 过滤实战51 条
- tcpdump 命令行抓包
- tcpdump -w 写入 pcap 文件
- tcpdump -i 指定抓包接口
- tcpdump port 端口过滤
- tcpdump -n 与 -nn 不做解析
- BPF 过滤表达式基础
- tcpdump 抓 SYN 建连请求
- tcpdump host 主机过滤
- tcpdump tcpflags 标志位过滤
- tcpdump 抓 RST 复位包
- tcpdump -r 读取 pcap 文件
- tcpdump 时间戳格式选项
- tcpdump 逻辑组合与括号
- tcpdump 抓 ICMP 与类型过滤
- tcpdump -s 设置抓取长度
- tcpdump net 网段过滤
- tcpdump -c 限制抓包数量
- tcpdump src 与 dst 限定方向
- tcpdump udp 过滤
- tcpdump 字节匹配抓 HTTP GET
- tcpdump -A 按 ASCII 打印载荷
- tcpdump -D 列出可用接口
- tcpdump 协议关键字过滤
- tcpdump -e 打印链路层头部
- tcpdump 抓 FIN 拆除包
- tcpdump arp 过滤
- tcpdump 抓 DHCP 交互
- tcpdump -X 十六进制与 ASCII 对照
- tcpdump portrange 端口范围
- tcpdump vlan 过滤
- tcpdump 抓零窗口通告
- tcpdump -v 详细输出
- tcpdump -Q 按方向抓包
- tcpdump 抓 IPv6 流量
- tcpdump 输出统计与聚合
- tcpdump -q 精简输出
- tcpdump -B 调整抓包缓冲区
- tcpdump ether 按 MAC 过滤
- tcpdump 抓 IP 分片
- tcpdump 管道与远端联动
- tcpdump -l 行缓冲输出
- tcpdump 广播与组播过滤
- tcpdump -p 关闭混杂模式
- tcpdump greater 与 less 按包长过滤
- tcpdump 抓 NTP 时间同步
- tcpdump -U 包到达即写盘
- tcpdump 抓 GRE 隧道流量
- tcpdump 抓 SNMP 流量
- tcpdump -Z 抓包后降权
- tcpdump 抓 STP BPDU
- tcpdump 抓 ESP 加密流量
tcpdump -w 写入 pcap 文件
把抓到的原始报文写入 pcap 文件，供 Wireshark/tshark 离线分析；现场先落盘再研究是排障惯例，能保留字节级细节。
易错点
- -w 时不要再用管道过滤输出内容，管道里的东西不再是可读文本；过滤要在命令行表达式里做
- 不写 -s 0 时超长帧会被截断，事后用 Wireshark 看大包内容会显示 [Packet size limited during capture]
数据来源与参考
- man 8 tcpdump（-w/-s 选项）