常用命令：

 tcpdump -s 0 -i any -w tcpdump.cap

参数解释及实例：

Last login: Fri Mar  8 15:56:07 2019 from 172.16.22.65
[root@localhost ~]# tcpdump -h
tcpdump version 4.1-PRE-CVS_2012_03_26
libpcap version 1.4.0
Usage: tcpdump [-aAdDefIKlLnNOpqRStuUvxX] [ -B size ] [ -c count ]
        [ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
        [ -i interface ] [ -M secret ] [ -r file ]
        [ -s snaplen ] [ -T type ] [ -w file ] [ -W filecount ]
        [ -y datalinktype ] [ -z command ] [ -Z user ]
        [ expression ]
# -i 是指定要抓取的网卡
# -w 指定要保存的位置
[root@localhost ~]# tcpdump -s 0 -i any -w tcpdump.scp
tcpdump: listening on any, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes



^C280 packets captured
324 packets received by filter
0 packets dropped by kernel

常用选项

-i # 指定监听的网络接口。
-n # 将地址显示为数字格式
-nn # 将地址、端口显示为数字格式
-c # 在收到指定的数量的分组后，tcpdump就会停止。
-F # 从指定的文件中读取表达式，忽略命令行中给出的表达式。
-N # 不输出主机名中的域名部分。例如，‘nic.ddn.mil‘只输出’nic‘。
-P # 不将网络接口设置成混杂模式
-q # 快速输出。只输出较少的协议信息。
-X # 分别以16进制和ASCII码格式显示
-XX # 显示链路层首部信息
-A # 以ASCII码格式显示
-T # 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc远程过程调用和snmp 简单网络管理协议。
-v # 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息。
-vv # 输出详细的报文信息。
-w # 直接将分组写入文件中，而不是不分析并打印出来。
-r # 读取抓包的文件并分析

参考文档：

https://www.cnblogs.com/bass6/p/5819928.html