tcpdump实例
A. tcpdump –i eth0 –c 10
使用-i参数指定tcpdump监听的网络界面，这在计算机具有多个网络界面时非常有用，
使用-c参数指定要监听的数据包数量，
使用-w参数指定将监听到的数据包写入文件中保存
B.想要截获主机172.16.14.107和主机172.16.14.27或172.16.14.99的通信，使用命令：（在命令行中使用括号时，一定要用’\’
tcpdump host 172.16.14.107 and \ (172.16.14.27or172.16.14.99 \)
C.如果想要获取主机172.16.14.107除了和主机172.16.14.27之外所有主机通信的ip包，使用命令：
tcpdump ip host 172.16.14.107 and ! 172.16.14.27
D.如果想要获取主机172.16.14.107接收或发出的telnet包，使用如下命令：
tcpdump tcp port 23 host 172.16.14.107
E.对本机的udp 123 端口进行监视 （123 为ntp的服务端口）
tcpdump udp port 123
F.系统将只对名为hostname的主机的通信数据包进行监视。主机名可以是本地主机，也可以是网络上的任何一台计算机。下面的命令可以读取主机hostname发送的所有数据：
tcpdump -i eth0 src host hostname
G.下面的命令可以监视所有送到主机hostname的数据包：
tcpdump -i eth0 dst host hostname
#src表示源，即发送
#dst表示目的地，即接收
H.我们还可以监视通过指定网关的数据包：
tcpdump -i eth0 gateway Gatewayname
I.如果你还想监视编址到指定端口的TCP或UDP数据包，那么执行以下命令：
tcpdump -i eth0 host hostname and port 80
J.如果想要获取主机172.16.14.107接收或发出的telnet包，使用如下命令：
tcpdump tcp port 23 host 172.16.14.107
K. 如果我们只需要列出送到80端口的数据包，用dst port 80；如果我们只希望看到返回80端口的数据包，用src port 80。
tcpdump –i eth0 host hostname and dst port 80 目的端口是80
或者
tcpdump –i eth0 host hostname and src port 80 源端口是80
80端口一般是提供http的服务的主机
tcpdump输出格式
总的的输出格式为：系统时间 来源主机.端口 > 目标主机.端口 数据包参数
如果要用wireshark分析数据：
tcpdump -i eth0 -c 100 -s 0 -w /home/data.pcap
原文：
http://xjsunjie.blog.51cto.com/999372/592539
wireshark的使用和tcpdump的参数
http://hi.baidu.com/x_bobo/item/abe41b96f36cc1becd80e5cf