首选介绍一下tcpdump的常用参数
tcpdump采用命令行方式，它的命令格式为：
tcpdump[-adeflnNOpqStvx][-c数量][-F文件名]
[-i网络接口][-r文件名][-ssnaplen]
[-T类型][-w文件名][表达式]
1.tcpdump的选项介绍
-a将网络地址和广播地址转变成名字；
-d将匹配信息包的代码以人们能够理解的汇编格式给出；
-dd将匹配信息包的代码以c语言程序段的格式给出；
-ddd将匹配信息包的代码以十进制的形式给出；
-e在输出行打印出数据链路层的头部信息；
-f将外部的Internet地址以数字的形式打印出来；
-l使标准输出变为缓冲行形式；
-n不把网络地址转换成名字；
-t在输出的每一行不打印时间戳；
-v输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；
-vv输出详细的报文信息；
-c在收到指定的包的数目后，tcpdump就会停止；
-F从指定的文件中读取表达式,忽略其它的表达式；
-i指定监听的网络接口；
-r从指定的文件中读取包(这些包一般通过-w选项产生)；
-w直接将包写入文件中，并不分析和打印出来；
-T将监听到的包直接解释为指定的类型的报文，常见的类型有rpc(远程过程
调用)和snmp(简单网络管理协议；)
当网络出现故障时，由于直接用tcpdump抓包分析有点困难，而且当网络中数据比较多时更不容易分析，使用tcpdump的-w参数+ethereal分析会很好的解决这个问题，具体参数如下：
tcpdump-ieth1-c2000-weth1.cap
-ieth1只抓eth1口的数据
-c2000代表数据包的个数，也就是只抓2000个数据包
-weth1.cap保存成cap文件，方便用ethereal分析
抓完数据包后ftp到你的FTP服务器，put一下，然后用ethereal软件打开就可以很直观的分析了
注：有时将.cap文件上传到FTP服务器后，发现用ethreal打开时提示数据包大于65535个，这是你在ftp上传或者下载的时候没有用bin的模式上传的原因。
另：有的网站提示在tcpdump中用-s0命令，例如tcpdump-ieth1-c2000-s0-weth1.cap，可实际运行该命令时系统却提示无效的参数,去掉-s0参数即可
例子：
[root@localhostcdr]#tcpdump-ieth0-ttcp-s60000-wdiaoxian.cap
[root@localhostcdr]#tcpdumphost58.240.72.195-s60000-wx.cap
如果觉得《tcpdump抓包ftp协议_tcpdump抓包并保存成cap文件》对你有帮助，请点赞、收藏，并留下你的观点哦！
