Ubuntu預設是安裝好了tcpdump工具的，如果沒有安裝的話使用sudo apt-get install tcpdump即可安裝。

（如果遇到tcpdump: no suitable device found的問題，檢查一下是不是在用root許可權執行tcpdump，tcpdump只能在root許可權下工作）

安裝好tcpdump之後，執行tcpdump：

1. tcpdump -D 獲取網路介面卡列表，以下是在Ubuntu上獲取到的結果：

2. tcpdump -i <需要監控的網路介面卡編號>，例如我想監控我的無線網絡卡wlan0，則使用tcpdump -i 2。

如果不使用-i來定義監控介面卡的話，預設使用列表中的第一個；

3. 使用無線網絡卡wlan0監控IP地址為172.16.86.111上443埠的tcp協議：

4. 如果想要顯示資料包的內容，需要使用-X引數，如，我想要顯示捕獲的https資料包http header的內容：

顯示結果如下：

可以看到該結果只顯示了https頭的一部分，沒有顯示全，是因為tcpdump預設將顯示的資料長度截斷了，可以使用-s後面加資料長度，來設定資料顯示長度：

以上的例子中，-s 0 表示自動設定長度使其能夠顯示所有資料。

5. 捕獲的資料太多，不斷刷屏，可能需要將資料內容記錄到檔案裡，需要使用-w引數：

則將之前顯示在螢幕中的內容，寫入tcpdump可執行檔案同級目錄下的aaa檔案中。

檔案檢視方式如下，需要使用-r引數：

如果這樣寫：

則只能看到最簡單的資料傳輸互動過程，看不到資料包內容，檢視時也需要使用相應的引數。

6.總結

總結一下，tcpdump的引數分兩個部分，選項（Options）和表示式（expression）：