Ubuntu tcpdump

### 安装 tcpdump

为了在Ubuntu系统上使用`tcpdump`进行网络流量捕获，需确认该工具已安装。如果尚未安装，可以通过包管理器完成安装：

sudo apt-get update
sudo apt-get install tcpdump

上述命令首先更新软件列表以获取最新的版本信息，随后安装`tcpdump`[^1]。

### 基本使用方法

#### 捕获所有经过指定网卡的数据包

假设想要监控名为`eth0`的网络接口上的所有通信活动，则可执行如下命令：

sudo tcpdump -i eth0

此命令会实时打印出通过`eth0`接收到的所有数据包详情至终端窗口[^2]。

#### 设置最大捕获字节数

有时可能只关心每个数据包的部分内容而非全部；此时可通过设置`snaplen`参数限制每条记录的最大长度：

sudo tcpdump -i eth0 -s 68

这里指定了仅截取前68个字节作为样本保存并展示给用户查看。

#### 将捕获到的内容保存为文件

当计划后续深入研究当前捕捉下来的信息时，最好将其导出成独立文档形式存档备用：

sudo tcpdump -i eth0 -w capture.pcap

这一步骤创建了一个叫做`capture.pcap`的新文件用来存储由`tcpdump`收集所得的结果集。

#### 应用过滤条件筛选目标流

考虑到实际环境中存在大量无关紧要甚至敏感性质不明的数据流动向，合理运用表达式能够有效提高效率降低干扰因素影响范围：

sudo tcpdump 'host 192.168.1.1 and port 80'

这条指令专门寻找那些源地址或目的地之一匹配给出IP地址(`192.168.1.1`)并且涉及HTTP服务(即端口80)交互过程中的每一个实例。