语法：
tcpdump [options] [not] proto dir type案例tcpdump -i eth0 host 192.168.1.1 and icmp -n -w /tmp/test1.cap -c 10意思：抓取eth0 并且是192.168.1.1地址的icmp包，不做主机解析 ，抓包文件保存至/tmp/test.cap ，共抓10个包 常用option-w：将抓包数据输出到文件中而不是标准输出，输出的格式是.cap 如：-w test.cap。-c：指定要抓取的包数量。-i interface：指定抓取接口。-v：当分析和打印的时候，产生详细的输出。-n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析。tcpdump的表达式由一个或多个”单元”组成，三种表达式：1.proto：通过给定协议限定匹配的数据包类型。常用的协议有tcp/udp/arp/ip/ether/icmp等，若未给定协议类型，则匹配所有可能的类型。例如：”tcp port 21″，”udp portrange 7000-7009″。除了使用修饰符和ID组成的表达式单元，还有关键字表达式单元：gateway，broadcast，less，greater以及算术表达式。2.dir：指定ID的方向。可以给定的值包括src/dst/src or dst/src and dst，默认为src or dst。例如：”src foo”表示源主机为foo的数据包，”dst net 128.3″表示目标网络为128.3的数据包，”src or dst port 22″表示源或目的端口为22的数据包。3.type：指定ID的类型。可以给定的值有host/net/port/portrange，默认的type为host。例如”host foo”，”net 128.3″，”port 20″，”portrange 6000-6008″。表达式与表达式之间可以使用操作符” and / && / or / || / not / ! “进行连接，
