tcpdump需要使用root
一、監聽本機的3306端口，可以得到本機3306端口接收和發送的數據包
[sourcecode]tcpdump port 3306[/sourcecode]
轉包結果：
[sourcecode]
# tcpdump tcp port 7012 and host 172.25.34.88 -ieth1 -n
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 96 bytes
1. 14:44:52.174122 IP 172.25.38.145.49563 > 172.25.34.88.7012: S 1986599379:1986599379(0) win 5840 <mss 1460,sackOK,timestamp 3824018401 0,nop,wscale 2>
2. 14:44:52.174249 IP 172.25.34.88.7012 > 172.25.38.145.49563: S 4294961892:4294961892(0) ack 1986599380 win 5792 <mss 1460,sackOK,timestamp 1927787323 3824018401,nop,wscale 2>
3. 14:44:52.174228 IP 172.25.38.145.49563 > 172.25.34.88.7012: . ack 1 win 1460 <nop,nop,timestamp 3824018401 1927787323>
4. 14:44:52.174433 IP 172.25.38.145.49563 > 172.25.34.88.7012: P 1:109(108) ack 1 win 1460 <nop,nop,timestamp 3824018401 1927787323>
5. 14:44:52.174443 IP 172.25.34.88.7012 > 172.25.38.145.49563: . ack 109 win 1448 <nop,nop,timestamp 1927787323 3824018401>
6. 14:44:52.186891 IP 172.25.34.88.7012 > 172.25.38.145.49563: P 1:857(856) ack 109 win 1448 <nop,nop,timestamp 1927787326 3824018401>
7. 14:44:52.186914 IP 172.25.34.88.7012 > 172.25.38.145.49563: F 857:857(0) ack 109 win 1448 <nop,nop,timestamp 1927787326 3824018401>
8. 14:44:52.187054 IP 172.25.38.145.49563 > 172.25.34.88.7012: . ack 857 win 1888 <nop,nop,timestamp 3824018404 1927787326>
9. 14:44:52.195347 IP 172.25.38.145.49563 > 172.25.34.88.7012: F 109:109(0) ack 858 win 1888 <nop,nop,timestamp 3824018406 1927787326>
10. 14:44:52.195355 IP 172.25.34.88.7012 > 172.25.38.145.49563: . ack 110 win 1448 <nop,nop,timestamp 1927787328 3824018406>
每一行中間都有這個包所攜帶的標志：
S=SYN，發起連接標志。
P=PUSH，傳送數據標志。
F=FIN，關閉連接標志。
ack 表示確認包。
RST=RESET，異常關閉連接。
. 表示沒有任何標志。
上面抓包的過程解析：
第1行：14:44:52這個時間，從172.25.38.145（client）的臨時端口49563向172.25.34.88（server）的7012監聽端口發起連接，client初始包序號為1986599379，滑動窗口大小為5840字節（滑動窗口即tcp接收緩沖區的大小，用於tcp擁塞控制），mss大小為1460（即可接收的最大包長度，通常為MTU減40字節，IP頭和TCP頭各20字節）。
第2行：server響應連接，同時帶上第一個包的ack信息，為client端的初始包序號加1，即1986599380，即server端下次等待接受這個包序號的包，用於tcp字節流的順序控制。Server端的初始包序號為4294961892，mss也是1460。
第3行：client再次確認，tcp連接三次握手完成。
第4行：client發請求包，包長度108字節。
第5行：server響應ack。
第6行：server回包，包長度856字節。
第7行：client響應ack。
第8行：client發起關閉連接請求。
第9行：server響應ack，並且也發送FIN標志關閉。
第10行：客戶端響應ack，關閉連接的四次握手完成。
[/sourcecode]
二、
1、獲取3306接收的數據包
[sourcecode]
tcpdump dst port 3306
[/sourcecode]
2、獲取3306發出的數據包
[sourcecode]
tcpdump src port 3306
[/sourcecode]
tcpdump指令選項：
-i：指定網卡。
-n：顯示ip，而不是主機名。
-c：指定抓多少個包後退出。
-A：以ASCII方式顯示包內容，這個選項對文本格式的協議包非常有用。
-s：指定抓包顯示一行的寬度，-s0表示顯示完整的包，經常和-A一起用。
-x/-xx/-X/-XX：以十六進制顯示包內容，幾個選項只有細微的差別，詳見man手冊。
-vv：詳細信息。
-r：從文件中讀取。
-w：導出到指定文件。
監聽來自172.25.38.145到端口7012的數據，並到處到指定文件：
tcpdump tcp dst port 7012 and src host 172.25.38.145 -vv –w output.dat
從指定文件加載監聽數據：
tcpdump -r output.dat
監聽網卡eth1端口7012的數據：
tcpdump tcp port 7012 -ieth1 –n
