------------tcpdump---------------
格式：
tcpdump [option] [expression]
option：
抓包选项：
-c：指定要抓取的包数量。
-i interface：指定tcpdump需要监听的接口。默认会抓取第一个网络接口
-n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析。
-nn：除了-n的作用外，还把端口显示为数值，否则显示端口服务名。
-P：指定要抓取的包是流入还是流出的包。可以给定的值为"in"、"out"和"inout"，默认为"inout"。
-s len：设置tcpdump的数据包抓取长度为len，如果不设置默认将会是65535字节。
输出选项：
-e：输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。
-q：快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。
-X：输出包的头部数据，会以16进制和ASCII两种方式同时输出。
-XX：输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细。
-v：当分析和打印的时候，产生详细的输出。
-vv：产生比-v更详细的输出。
-vvv：产生比-vv更详细的输出。
其他功能性选项：
-D：列出可用于抓包的接口。将会列出接口的数值编号和接口名，它们都可以用于"-i"后。
-F：从文件中读取抓包的表达式。若使用该选项，则命令行中给定的其他表达式都将失效。
-w：将抓包数据输出到文件中而不是标准输出。可以同时配合"-G"
"time"选项使得输出文件每time秒就自动切换到另一个文件。可通过"-r"选项载入这些文件以进行分析和打印。
-r：从给定的数据包文件中读取数据。使用"-"表示从标准输入中读取
expression 表达式
==一个基本的表达式单元格式为"proto dir type ID"==
对于表达式语法，参考 pcap-filter 【pcap-filter - packet filter syntax】
类型 type
host, net, port, portrange
例如：host 192.168.201.128 , net 128.3, port 20, portrange 6000-6008
目标 dir
src, dst, src or dst, src and dst
协议 proto
tcp， udp ， icmp，若未给定协议类型，则匹配所有可能的类型
==表达式单元之间可以使用操作符" and / && / or / || / not / ! "进行连接，从而组成复杂的条件表达式==。如"host foo and not port ftp and not port ftp-data"，这表示筛选的数据包要满足"主机为foo且端口不是ftp(端口21)和ftp-data(端口20)的包"，常用端口和名字的对应关系可在linux系统中的/etc/service文件中找到。
另外，同样的修饰符可省略，如"tcp dst port ftp or ftp-data or domain"与"tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain"意义相同，都表示包的协议为tcp且目的端口为ftp或ftp-data或domain(端口53)。
使用括号"()"可以改变表达式的优先级，但需要注意的是括号会被shell解释，所以应该使用反斜线""转义为"()"，在需要的时候，还需要包围在引号中。
例：
1. 默认启动
tcpdump
默认情况下，直接启动tcpdump将监视第一个网络接口(非lo口)上所有流通的数据包。这样抓取的结果会非常多，滚动非常快。
2 . 监视指定网络接口的数据包
tcpdump -i ens33
3. 监视指定主机的数据包，例如所有进入或离开node1的数据包
tcpdump -i ens33 host node1
4. 打印node1<-->node2或node1<-->node3之间通信的数据包
tcpdump -i ens33 host node1 and \(node2 or node3\)
5. 打印node1与任何其他主机之间通信的IP数据包,但不包括与node4之间的数据包
tcpdump -i ens33 host node1 and not node4
6. 截获主机node1 发送的所有数据
tcpdump -i ens33 src host node1
7. 监视所有发送到主机node1 的数据包
tcpdump -i ens33 dst host node1
8. 监视指定主机和端口的数据包
tcpdump -i ens33 port 8080 and host node1
9. 监视指定网络的数据包，如本机与192.168网段通信的数据包，"-c 10"表示只抓取10个包
tcpdump -i ens33 -c 10 net 192.168
10. 打印所有通过网关snup的ftp数据包
tcpdump 'gateway snup and (port ftp or ftp-data)'
注意,表达式被单引号括起来了,这可以防止shell对其中的括号进行错误解析
11. 抓取ping包
tcpdump -c 5 -nn -i ens33
==指定主机抓ping包==
tcpdump -c 5 -nn -i eth0 icmp and src 192.168.100.62
12. 抓取到本机22端口包
tcpdump -c 10 -nn -i ens33 tcp dst port 22
13. 解析包数据
tcpdump -c 2 -q -XX -vvv -nn -i ens33 tcp dst port 22
14. http请求头:
tcpdump -i eth0 port 80 -s 1024 -l -A
-A 以ASCII码方式显示每一个数据包(不会显示数据包中链路层头部信息). 在抓取包含网页数据的数据包时, 可方便查看数据(nt: 即Handy for capturing web pages).
-l 使标准输出变为缓冲行形式
-s snaplen snaplen表示从一个包中截取的字节数。0表示包不截断，抓完整的数据包。默认的话 tcpdump 只显示部分数据包,默认68字节。
结果解析:
[S] 表示这是一个SYN请求
[.] 表示这是一个ACK确认包，(client)SYN->(server)SYN->(client)ACK 就是3次握手过程
[P] 表示这个是一个数据推送，可以是从服务器端向客户端推送，也可以从客户端向服务器端推
[F] 表示这是一个FIN包，是关闭连接操作，client/server都有可能发起
[R] 表示这是一个RST包，与F包作用相同，但RST表示连接关闭时，仍然有数据未被处理。可以理解为是强制切断连接
例,查看本机发起的http数据推送：
tcpdump -i `ifconfig|grep -B1 inet|grep flags|awk '{print $1}'|tr -d ':'|head -1` -nn -P out tcp and not port 22|grep '\[P'
---------------tshark/ngrep----------------
实时打印当前http请求的url(包括域名)
tshark -s 512 -i eth0 -n -f 'tcp dst port 80' -R 'http.host and http.request.uri' -T fields -e http.host -e http.request.uri -l
下面介绍参数含义：
-s 512 :只抓取前512个字节数据
-i eth0 :捕获eth0网卡
-n :禁止网络对象名称解析
-f 'tcp dst port 80' :只捕捉协议为tcp,目的端口为80的数据包
-R 'http.host and http.request.uri' :过滤出http.host和http.request.uri
-T fields -e http.host -e http.request.uri :打印http.host和http.request.uri
-l ：输出到标准输出
实时打印当前mysql查询语句
tshark -s 512 -i eth0 -n -f 'tcp dst port 3306' -R 'mysql.query' -T fields -e mysql.query
下面介绍参数含义：
-s 512 :只抓取前512个字节数据
-i eth0 :捕获eth0网卡
-n :禁止网络对象名称解析
-f 'tcp dst port 3306' :只捕捉协议为tcp,目的端口为3306的数据包
-R 'mysql.query' :过滤出mysql.query
-T fields -e mysql.query :打印mysql查询语句
tshark使用-f来指定捕捉包过滤规则，规则与tcpdump一样，可以通过命令man pcap-filter来查得。
tshark使用-R来过滤已捕捉到的包，与界面板wireshark的左上角Filter一致
ngrep:
ngrep -i -qd eth0 -W byline 'http' host 172.17.1.111
ngrep -i -q -d any -W byline 'tomca-xxx'
-q 静默模式，不匹配的包不会一直打印#
-d 指定网卡
-W byline 打印换行；可用参数还有none，打印详情，但是不换行
-i 忽略大小写
-v 翻转匹配
'http' 此处为匹配http字符串，可以使用正则表达式
host 172.17.1.111 指定只抓取某主机的包