tcpdump抓包保存cap文件(实用)

1、tcpdump是一款用于捕获网络数据包并进行分析的工具。安装方法：使用yum install tcpdump命令进行安装。安装完成后，创建一个文件夹用于存放捕获的数据包文件，并在该文件夹下执行tcpdump相关命令。
2、示例：捕获网卡eht0上的192.168.168.18 IP地址和8081端口的数据包。命令：tcpdump -i eht0 -w file.cap host 192.168.168.18 and tcp port 8081。其中，-w参数用于指定将捕获的数据包写入文件中保存，file.cap即为保存的文件名。-i参数用于指定tcpdump监听的网络接口。请注意，每台服务器的网卡名称可能不同，可以使用ipconfig命令查看网卡信息。

对上图中的三行进行解释：
1、最上方是数据包列表，用于显示捕获的每个数据包的摘要信息。
2、中间是协议树，用于显示选定的数据包所属的协议信息。
3、最下方以十六进制形式显示数据包的内容，用于展示数据包在物理层传输时的最终形式。

在数据包列表中，第一列是编号（如第1个包），第二列是捕获时间（0.000000），第三列是源地址（115.155.39.93），第四列是目的地址（115.155.39.112），第五列是使用的协议（此处为UDP协议），第六列是其他信息，包括源端口号和目的端口号（源端口：58459，目的端口：54062）。

通过协议树，可以获取更多被捕获数据包的信息，如主机的MAC地址（Ethernet II）、IP地址（Internet Protocol）、UDP端口号（User Datagram Protocol）以及UDP协议的具体内容（data）。