在Linux中，dumpcap 是一个命令行工具，用于捕获和保存网络数据包。它通常与Wireshark一起使用，Wireshark是一个图形界面工具，可以用来分析这些数据包。如果你想直接使用 dumpcap 来分析数据包，你可以使用它的各种命令行选项来过滤和显示数据包的内容。
以下是一些基本的 dumpcap 命令行用法：
捕获数据包:
dumpcap -i eth0 -w output.pcap
这个命令会捕获接口 eth0 上的所有数据包，并将它们保存到 output.pcap 文件中。
读取数据包文件:
dumpcap -r output.pcap
这个命令会读取 output.pcap 文件中的数据包，并在终端上显示它们的摘要信息。
使用过滤器捕获数据包:
dumpcap -i eth0 -w output.pcap 'tcp port 80'
这个命令只会捕获通过接口 eth0 的TCP端口80的数据包。
显示数据包的详细信息:
dumpcap -r output.pcap -T fields -e frame.number -e ip.src -e ip.dst -e tcp.port
这个命令会读取 output.pcap 文件，并显示每个数据包的帧号、源IP地址、目标IP地址和TCP端口号。
实时显示数据包:
dumpcap -i eth0 -l -q -t 'udp'
这个命令会实时显示接口 eth0 上的UDP数据包。-l 使输出是行缓冲的，-q 减少输出量，-t 后面跟着的字符串是一个BPF（Berkeley Packet Filter）表达式，用于过滤数据包。
统计信息:
dumpcap -r output.pcap -q -z conv,tcp
这个命令会读取 output.pcap 文件，并显示TCP流的信息。
请注意，dumpcap 的功能非常强大，可以通过很多选项来定制捕获和分析数据包的行为。你可以查看 dumpcap 的手册页（通过运行 man dumpcap）来了解更多关于它的功能和选项的信息。
