语法：
tcpdump [options] [not] proto dir type
案例
tcpdump -i eth0 host 192.168.1.1 and icmp -n -w /tmp/test1.cap -c 10
意思：抓取eth0 并且是192.168.1.1地址的icmp包，不做主机解析 ，抓包文件保存至/tmp/test.cap ，共抓10个包
常用option
-w：将抓包数据输出到文件中而不是标准输出，输出的格式是.cap 如：-w test.cap。
-c：指定要抓取的包数量。
-i interface：指定抓取接口。
-v：当分析和打印的时候，产生详细的输出。
-n：对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析。
tcpdump的表达式由一个或多个"单元"组成，
三种表达式：
1.proto：通过给定协议限定匹配的数据包类型。
常用的协议有tcp/udp/arp/ip/ether/icmp等，若未给定协议类型，则匹配所有可能的类型。
例如：
"tcp port 21"，"udp portrange 7000-7009"。
除了使用修饰符和ID组成的表达式单元，还有关键字表达式单元：gateway，broadcast，less，greater以及算术表达式。
2.dir：指定ID的方向。
可以给定的值包括src/dst/src or dst/src and dst，默认为src or dst。
例如：
"src foo"表示源主机为foo的数据包，
"dst net 128.3"表示目标网络为128.3的数据包，
"src or dst port 22"表示源或目的端口为22的数据包。
3.type：指定ID的类型。
可以给定的值有host/net/port/portrange，默认的type为host。
例如"host foo"，"net 128.3"，"port 20"，"portrange 6000-6008"。
表达式与表达式之间可以使用操作符" and / && / or / || / not / ! "进行连接，