tcpdump

# tcpdump:

    -i interface

    -w file ：保存到文件

    -nn：第一个n表示把IP地址显示为数字格式，而不是主机名,第二个n表示把端口显示为数字格式

    -X:hex and ASCII

    -A:ASCII

    -VV：更详细信息

    expression：

        关键字：

            type：host,net,port,portrange

            direction:src,dst,src or dst,src and dst

            protocol:ether,ip,arp,tcp,udp,wlan

tcpdump -i eth0 -nn host IP1   ---抓取IP1的通信（包括IP1发给其它主机的，以及其它主机发给IP1的（源和目标都是IP1））

tcpdump -i eth0 -nn dst host IP1    ---抓取目标主机是IP1的通信

 组合：and ,or ,not              

tcpdump -i eth0 -nn host IP1 and IP2      ---抓取IP1和IP2之间的通信

tcpdump -i eth0 -nn host IP1 and (IP2 or IP3)    ---抓取IP1跟IP2间，或IP1跟IP3之间的通信

tcpdump tcp dst port 80 -n and src 10.2.2.4

tcpdump tcp dst port 80 -n and ! src 10.2.2.4

tcpdump tcp dst port 80 -n and host 10.2.2.4

-vv <---把数据包的详细内容都记录下来

-w <---把数据保存到某个文件