tcpdump VS tshark用法(转)

Tcpdump是网络协议分析的基本工具。tshark是大名鼎鼎的开源网络协议分析工具wireshark （原名叫ethereal）的命令行版本，wireshark可对多达千余种网络协议进行解码分析。Wireshark和tcpdump均使用libpcap库（参见libpcap编程教程）进行网络截包。

TCPDUMP

详细manpage参见tcpdump网站。

基本用法

Tcpdump的参数基本分为两块:选项（options）和过滤器表达式（filter_expression）。

# tcpdump [options] [filter_expression]

例如

# tcpdump -c 100 -i eth0 -w log tcp dst port 50000

其中 options部分参数：

-c 100 指定截取的包的数量
-i eth0 指定监听哪个网络端口
-w log 输出到名为log的文件中（libpcap格式）

filter_expression参数为 tcp dst port 50000，即只监听目标端口为50000的tcp包。

更多的例子：


# tcpdump dst net not 192.168.3.0/24


# tcpdump -n -nn port not 

 

转自：http://blog.sina.com.cn/s/blog_81fe9f940100zbu7.html

http://www.cnblogs.com/followyourheart/articles/2770453.html