tcpdump 初级使用教程：轻松抓取与分析网络数据包（Ubuntu 系统专属）

tcpdump 是 Linux 系统中一款强大的命令行网络抓包工具，能实时捕获网络接口上的数据包并进行分析，是排查网络故障、了解网络通信过程的必备工具。本教程专为 Ubuntu 系统的初级使用者设计，从安装到实战示例，带你一步步掌握 tcpdump 的核心用法。

一、先搞定安装：Ubuntu 下 tcpdump 的安装步骤

tcpdump 在 Ubuntu 系统中默认未预装，需通过 apt 包管理器手动安装，且安装过程需管理员权限（sudo）。

1. 更新软件源（可选但推荐）

安装前先更新 Ubuntu 的软件源列表，确保能获取到最新版本的 tcpdump 包，避免因源过期导致安装失败：

sudo apt update

执行后会提示输入当前用户的密码（输入时密码不显示，输完按回车即可），等待更新完成。

2. 安装 tcpdump

更新完成后，执行以下命令安装 tcpdump：

sudo apt install -y tcpdump

• -y 参数表示自动确认安装，无需手动输入 y 确认；

• 安装成功后，无额外提示，直接返回命令行。

3. 验证安装

输入以下命令，查看 tcpdump 版本，确认安装成功：

tcpdump --version

若输出类似如下信息，说明安装成功：

tcpdump version 4.9.3
libpcap version 1.10.0 (with TPACKET_V3)
OpenSSL 3.0.2 15 Mar 2022

二、基础操作：先学会 “抓包” 和 “停止”

tcpdump 的核心功能是 “捕获网络数据包”，最基础的用法是指定网络接口抓包，先从最简单的操作开始。

1. 第一步：查看 Ubuntu 中的网络接口

抓包前需知道要监控哪个网络接口（如有线网卡、无线网卡），执行以下命令查看系统中所有网络接口：

ip addr show

输出中，eth0 通常是有线网卡，wlan0 通常是无线网卡（部分新系统可能显示为 enp0s3、wlp2s0 等，需根据实际情况判断），lo 是本地回环接口（仅用于本机内部通信）。

2. 基础抓包：指定接口捕获所有数据包

语法：sudo tcpdump -i 网络接口名

• -i：指定要监控的网络接口，-i any 表示监控所有接口（适合新手快速抓包）。

示例 1：监控所有网络接口的数据包

sudo tcpdump -i any

执行后，tcpdump 会实时输出捕获到的数据包，每一行代表一个数据包，包含 “时间、源 IP、目标 IP、协议、数据包内容摘要” 等信息，例如：

14:35:22.123456 IP ubuntu.local.54321 > router.local.80: Flags [P.], seq 12345:12390, ack 54321, win 5840, length 45
14:35:22.123678 IP router.local.80 > ubuntu.local.54321: Flags [.], ack 12390, win 65535, length 0

示例 2：仅监控有线网卡（假设接口为 eth0）

sudo tcpdump -i eth0

此时仅会捕获通过 eth0 接口的数据包，适合精准监控某一网络链路。

3. 停止抓包

tcpdump 会一直持续抓包，直到手动停止：在抓包界面按 Ctrl + C 即可终止，终止后会显示抓包统计信息（如捕获的数据包总数、已接收数、丢弃数等）。

三、实用过滤：只抓 “你关心” 的数据包

默认情况下，tcpdump 会捕获所有数据包，信息杂乱，实际使用中需通过 “过滤条件” 筛选目标数据包。以下是初级使用者最常用的 3 类过滤规则。

1. 按 “IP 地址” 过滤：只抓指定主机的数据包

语法：sudo tcpdump -i 接口名 host 目标IP

• host：指定要监控的主机 IP（源 IP 或目标 IP 匹配均可）；

• 若需区分 “源 IP” 和 “目标 IP”，可使用 src（源）或 dst（目标），如 src 192.168.1.100（只抓从 192.168.1.100 发出的数据包）。

示例：只抓与主机 192.168.1.10（假设是手机 IP）通信的数据包

sudo tcpdump -i wlan0 host 192.168.1.10

执行后，仅会显示 Ubuntu 与 192.168.1.10 之间发送 / 接收的数据包，排除其他无关主机的干扰。

2. 按 “端口” 过滤：只抓指定端口的数据包

语法：sudo tcpdump -i 接口名 port 目标端口

• 常用于监控特定服务的通信（如 HTTP 用 80 端口、HTTPS 用 443 端口、SSH 用 22 端口）；

• 同样可结合 src/dst，如 dst port 80（只抓目标端口为 80 的数据包，即访问网页的请求）。

示例：监控 SSH 服务（端口 22）的数据包

sudo tcpdump -i eth0 port 22

若此时用另一台电脑通过 SSH 连接该 Ubuntu（ssh 用户名@Ubuntu的IP），tcpdump 会捕获到 SSH 握手、数据传输的数据包。

3. 按 “协议” 过滤：只抓指定协议的数据包

语法：sudo tcpdump -i 接口名 协议名

• 常用协议：tcp（TCP 协议，如网页、SSH）、udp（UDP 协议，如 DNS、视频流）、icmp（ICMP 协议，如 ping 命令）。

示例 1：只抓 ping 命令的 ICMP 数据包

先在另一个终端执行 ping 8.8.8.8（ping 谷歌 DNS），再执行抓包命令：

sudo tcpdump -i any icmp

会捕获到类似如下的 ICMP 数据包（echo request 是 ping 请求，echo reply 是 ping 回复）：

14:45:10.789012 IP ubuntu.local > dns.google: ICMP echo request, id 1234, seq 1, length 64
14:45:10.890123 IP dns.google > ubuntu.local: ICMP echo reply, id 1234, seq 1, length 64

示例 2：只抓 TCP 协议的数据包

sudo tcpdump -i any tcp

此时访问网页（如 curl www.baidu.com），会捕获到浏览器与百度服务器之间的 TCP 连接（三次握手、数据传输、四次挥手）数据包。

四、输出优化：让抓包结果更易读

默认输出的数据包信息较简洁，初级使用者可能难以理解，可通过添加参数优化输出格式，或保存数据包到文件后续分析。

1. 显示 “详细信息”：-v 或 -vv

添加 -v（详细）或 -vv（更详细）参数，会显示更多数据包字段（如 TCP 窗口大小、TTL 值、校验和等），帮助理解网络通信细节。

示例：详细显示 ICMP 数据包

sudo tcpdump -i any icmp -v

输出会比默认更详细：

14:50:30.123456 IP (tos 0x0, ttl 64, id 5678, offset 0, flags [DF], proto ICMP (1), length 84)
    ubuntu.local > dns.google: ICMP echo request, id 1234, seq 5, length 64

2. 显示 “数据包内容”：-X 或 -XX

• -X：以十六进制和 ASCII 码格式显示数据包的内容（适合查看文本类数据，如 HTTP 请求的内容）；

• -XX：在 -X 的基础上，额外显示数据链路层的头部信息。

示例：查看 HTTP 请求的数据包内容

sudo tcpdump -i any port 80 -X

执行后，访问一个 HTTP 网站（如 http://example.com），会看到数据包内容的 ASCII 码部分（包含 HTTP 请求头，如 GET / HTTP/1.1、Host: example.com 等），直观了解网页请求的具体数据。

3. 保存数据包到文件：-w

若需要后续用其他工具（如 Wireshark，图形化工具，更易分析）分析数据包，可将捕获的数据包保存到文件，语法：sudo tcpdump -i 接口名 -w 文件名.pcap

• 保存的文件格式为 .pcap（通用的数据包文件格式，支持 Wireshark 打开）；

• 保存时，tcpdump 不会在终端输出数据包，仅显示抓包状态，按 Ctrl + C 停止后，文件会保存在当前目录。

示例：保存无线网卡（wlan0）的数据包到 wifi_packets.pcap

sudo tcpdump -i wlan0 -w wifi_packets.pcap

停止抓包后，执行 ls 可看到 wifi_packets.pcap 文件，后续可通过 sudo wireshark wifi_packets.pcap 打开文件，用图形化界面分析。

五、常见问题与注意事项

1. “Permission denied” 错误：tcpdump 需要管理员权限，所有命令前必须加 sudo，否则会提示权限不足。

2. 抓不到数据包：先确认网络接口是否正确（用 ip addr show 核对），若监控无线网卡（wlan0），需确保 Ubuntu 已连接无线网络。

3. 输出信息太多：善用过滤条件（如按 IP、端口、协议过滤），减少无关信息干扰，新手建议从 “指定 IP + 指定端口” 的组合过滤开始。

4. 保存的 .pcap 文件无法打开：确保打开时使用管理员权限（sudo wireshark 文件名.pcap），避免因权限问题无法读取文件。

六、新手常用命令总结

建议从 “抓 ping 包”“抓 SSH 包” 等简单场景开始练习，逐步熟悉过滤规则和输出解读，后续可结合实际网络故障（如无法访问某网站），用 TCPdump 排查问题（如是否能捕获到目标网站的数据包）。