Tcpdump可通过端口过滤、接口与方向限定、pcap保存及应用层内容匹配精准捕获指定端口流量：1、用port关键字匹配端口；2、指定接口和src/dst修饰符细化范围；3、-w保存为pcap文件；4、-A结合grep分析载荷内容。
如果您需要在Linux系统中捕获特定端口的网络通信数据，Tcpdump是常用的命令行抓包工具。以下是针对指定端口进行数据包捕获的具体操作方法：
一、使用端口过滤表达式直接抓包
Tcpdump支持BPF（Berkeley Packet Filter）语法，可通过“port”关键字精确匹配源或目的端口，仅捕获与该端口相关的TCP/UDP流量。
1、打开终端，切换至具有网络监控权限的用户（通常需root或sudo权限）。
2、执行命令抓取目标端口（例如80端口）的所有流量：sudo tcpdump -i any port 80。
3、若需限定仅捕获TCP协议的80端口流量，使用：sudo tcpdump -i any tcp port 80。
4、若需区分源端口和目的端口，可组合使用：例如只捕获发往8080端口的请求，使用：sudo tcpdump -i any dst port 8080。
二、结合接口与方向条件细化抓包范围
当系统存在多个网络接口，或需排除本地回环流量干扰时，可通过指定接口名和方向修饰符提升抓包准确性，避免冗余数据。
1、查看当前可用网络接口列表：ip link show | grep "^[0-9]" | awk '{print $2}' | sed 's/://' 。
2、在eth0接口上捕获进出53端口（DNS）的UDP数据包：sudo tcpdump -i eth0 udp port 53。
3、仅捕获从本机发出、目标为443端口的SSL/TLS连接请求：sudo tcpdump -i any src port 443 and tcp。
4、排除本地回环地址（127.0.0.1）参与的6379端口（Redis）通信：sudo tcpdump -i any port 6379 and not host 127.0.0.1。
三、将捕获结果保存为pcap文件供后续分析
实时输出易受终端刷新或中断影响，将原始数据包写入文件可确保完整性，并兼容Wireshark等图形化分析工具。
1、以静默模式捕获前100个匹配22端口（SSH）的数据包并保存：sudo tcpdump -i any port 22 -c 100 -w ssh_capture.pcap。
2、持续捕获但按大小轮转文件（每个最大10MB），保留最近5个文件：sudo tcpdump -i any port 3306 -W 5 -C 10 -w mysql_%Y%m%d_%H%M%S.pcap。
3、验证pcap文件是否包含有效数据包：tcpdump -r ssh_capture.pcap -c 5。
四、过滤应用层内容辅助定位问题
在确认端口通信存在的基础上，进一步检查载荷中是否含特定字符串（如HTTP请求路径、错误关键词），有助于快速识别异常行为。
1、捕获80端口且显示ASCII格式的HTTP请求行：sudo tcpdump -i any port 80 -A -s 0 | grep "GET\|POST"。
2、仅显示包含“404”状态码的HTTP响应（需配合-A参数）：sudo tcpdump -i any port 80 -A -s 0 | grep "HTTP/1\.1 404"。
3、对MySQL默认端口3306的明文认证过程进行载荷提取（注意：仅适用于未加密连接）：sudo tcpdump -i any port 3306 -A -s 1500 | grep -E "(user|password|SELECT)"。
