本文介绍如何在Linux系统中使用dumpcap命令抓包并查看数据包详细信息。dumpcap是Wireshark套件中的一个命令行工具，功能强大，可以捕获和保存网络数据包。
步骤一：启动dumpcap
首先，打开终端，使用sudo命令以root权限运行dumpcap：
sudo dumpcap
步骤二：选择网络接口
dumpcap会列出所有可用的网络接口。选择需要抓包的接口，例如eth0或wlan0。 使用-i选项指定接口：
sudo dumpcap -i eth0
步骤三：设置过滤器（可选）
为了提高效率，可以使用-f选项设置BPF过滤器，只捕获特定类型的数据包。例如，只捕获80端口的TCP流量：
sudo dumpcap -i eth0 -f "tcp port 80"
步骤四：开始抓包
按回车键开始抓包。数据包信息会实时显示在终端。 抓包完成后，按Ctrl+C停止。 dumpcap会生成一个.pcap文件，保存抓包数据。
步骤五：使用tshark分析pcap文件
tshark是wireshark的命令行工具，用于分析.pcap文件。 使用-r选项指定.pcap文件路径：
sudo tshark -r your_capture_file.pcap
这会显示数据包的详细信息，包括时间戳、源地址、目的地址、协议等。
步骤六：使用tshark命令行查看特定字段
如果只需要查看特定字段，可以使用-T fields选项和-e选项指定字段名称：
sudo tshark -r your_capture_file.pcap -T fields -e frame.time -e ip.src -e ip.dst
这将只显示时间戳、源IP地址和目的IP地址。
安装Wireshark
dumpcap和tshark是Wireshark的一部分。 请确保已安装Wireshark。 使用以下命令安装（根据你的Linux发行版选择合适的命令）：
-
sudo apt-get update sudo apt-get install wireshark
-
sudo dnf install wireshark # 或 sudo yum install wireshark
安装完成后，即可使用上述命令进行抓包和分析。
