在Linux中輸入命令man tcpdump給出的定義如下所示：
是不是感覺很懵？我們用通俗、形象、學術的表達方式來全方位描述tcpdump:
常用選項如下所示：
1、第壹個抓包示例
-i : 指定用來抓包的網絡接口，這個參數在服務器有多個網卡的時候非常有效
-nn : 不轉換協議和端口號，當tcpdump遇到協議號或端口號，不需要將這些數字轉換為對應的協議名稱或端口名稱，如22端口SSH端口，我們希望顯示22，而非SSH
-X : 將協議頭和包內容原原本本的顯示出來,tcpdump會同時以16進制和ASCII的形式進行顯示，在協議分析時非常好用。
'port 22' : 告訴tcpdump要有選擇的顯示所抓到的包，在該示例中，只顯示源端口或目的端口是22的數據包，其他的數據包則不顯示。
-c : 用來指定抓包的個數，示例設置的個數為1，則代表僅抓取壹個包之後就退出不再抓包了。
2、-e 增加數據鏈路層的頭部信息
通過兩個命令的輸出對比，可以看到增加-e選項後，輸出的結果中增加MAC地址信息。而且在輸出內容中會有 oui Unknown ，OUI即Organizationally unique identifier(組織唯壹標識符)，在任何壹塊網卡中燒錄的6字節MAC地址中，前3個字節體現了OUI，其表明了網卡的制造組織，通常情況下，該標識符是唯壹的。在本例中，由於沒有識別出網卡的制造商，因此顯示為Unknown。
3、-l 將輸出變為行緩沖模式
-l的作用是將tcpdump的輸出行為變為 行緩沖 方式，這樣可以保證tcpdump遇到換行符，就立即將緩沖的內容輸出到標準輸出(stdout)，方便利用管道或重定向方式進行後續處理，而不會造成延遲。
在Linux的標準I/O中提供了 全緩沖 、 行緩沖 、 無緩沖 三種緩沖方式。標準錯誤是不帶緩沖的，而終端設備常為行緩沖，其他默認則為全緩沖。
在該例中，將tcpdump輸出的內容通過管道提取第5列，可以用來查看詳細的連接信息。而如果不加 -l 選項時，則只有當緩沖區全部占滿時，tcpdump才會將緩沖區中的內容輸出，這樣就有可能導致輸出不連續的，如果強行結束，則會影響下壹行的完整性。
4、-t 輸出不加時間戳
在增加選項 -t 選項後，時間23:48:03.193526就消失了。tcpdump默認情況下是按微秒來計時，因此最壹個時間精確到了第6位。
5、 -v 顯示詳細信息
在增加 -v 選項後，會在輸出的內容中增加 tos 、 ttl 、 id 、 offset 、 協議編號 、 總長度 等，如需要理解這些信息，就需要了解TCP/IP協議中的頭的具體定義了。
6、-F 指定過濾表達式所在的文件
在第壹個示例中，命令行增加了 'port 22' ，而這壹項就叫 過濾條件 ，如果設置了過濾條件，則tcpdump只抓取滿足過濾條件的數據包。如需要設置較為復雜的過濾條件或復用過濾條件時，這時可以將過濾條件保存為文件，然後通過-F加載該過濾文件。
7、 -w 將原始數據包信息保存到文件中
當我們查看保存的文件時，出現的是亂碼。則代表無法直接查看，很有可能是二進制文件。那麽怎麽查看保存的文件了？請看下壹個示例。
7、 -r 從文件中讀取原始數據包
通過-w和-r選項即可實現抓包的錄制回放功能。