1.tcpdump抓包命令
-c 指定抓取包的数量，即最后显示的数量
-i 指定tcpdump监听的端口。未指定，选择系统中最小的以配置端口。-i any:监听所有网络端口 -i lo:监听lookback接口。-nn 对监听地址以数字方式呈现，且对端口也以数字方式呈现。如果不指定 ，地址以主机名方式呈现，端口以服务名方式呈现
-P 指定要抓取的包是流入还是流出 （in out inout[默认]）
-s 设置tcpdump的数据包抓取长度，默认为65535字节。
-e 输出的每行都包含数据链路层的头部信息。
-D 列出所有可以用于抓包的表达式。
-X 显示协议头和包的全部内容。
-F 从文件中读取抓包的表达式。2. 使用方法，十分钟抓一次
tcpdump -i eth0 -s0 -G 600 -w %Y_%m%d_%H%M_%S.pcap
tcpdump是对网络上的数据包进行截获的包分析工具，它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来去掉无用的信息。
2.1 监视指定主机的数据包
tcpdump host <IP地址>：截获该IP的主机收到的和发出的所有的数据包tcpdump host <IP地址> and <IP地址>：截获两个IP对应主机之间的通信
2.2 监视指定端口的数据包
tcpdump port <端口号>：截获本机80端口的数据包
2.3 抓包分析握手过程
抓包方法：首先使用tcpdump命令截获本机与某远程主机的数据包，然后打开某远程主机对应的网站，这里用我的域名www.fonxian.cn来做试验。
ping www.baidu.com
得到域名对应的ip： 81.15.19.12
ifconfg
得到本机内网ip：104.128.10.244
-S 参数的目的是获得ack的绝对值，不加该参数，第三次握手的ack为相对值1
sudo tcpdump -S host 192.168.0.108 and 131.101.100.11
得到下图
其中
1 S 表示是SYN 标记 客户端正准备发起一个请求
2 客户端发送的seq=3481431827
3 表示服务器接收到客户端的请求 发给客户端 ack=34814318278 同时发送SYN=421177755
4 表示客户端接受到服务器的同意连接的请求 发送确认信息 ack=421177756
5 P 表示数据传输状态
6 F 表示连接开始断开的状态
7 表示客户端主动发起断开连接的请求 seq=3481432002, ack=421180537
8 服务端发起确认请求 ack=3481432003
9 表示服务端发起断开连接的请求 seq=421180537, ack=3481432003
10 表示客户端收到服务端发送的断开连接的请求 发送确认信息 ack=421180538
