在 Linux 中，可以使用 tcpdump、wireshark 等工具進行數據包捕獲和分析

1. 安裝 tcpdump 和 wireshark：

   對于 Debian/Ubuntu 系統：

   sudo apt-get update
   sudo apt-get install tcpdump wireshark
   

   對于 RHEL/CentOS 系統：

   sudo yum install tcpdump wireshark
   

2. 使用 tcpdump 進行數據包捕獲：

   實時捕獲數據包：

   sudo tcpdump -i <interface> -n
   

   其中 <interface> 是你要捕獲數據包的網絡接口，例如 eth0 或 wlan0。-n 參數表示不解析主機名和端口名，以顯示原始 IP 地址和端口號。

   捕獲指定數量的數據包：

   sudo tcpdump -i <interface> -c <count> -n
   

   其中 <count> 是要捕獲的數據包數量。

   保存捕獲的數據包到文件：

   sudo tcpdump -i <interface> -w <output_file> -n
   

   其中 <output_file> 是要保存的文件名。

3. 使用 wireshark 分析捕獲的數據包：

   打開 Wireshark，點擊菜單欄的 “文件” -> “打開”，然后選擇捕獲到的數據包文件。

   在 Wireshark 中，你可以使用過濾器、統計工具、協議解析等功能對數據包進行分析。

4. 精準分析數據包：

   使用過濾器：在 Wireshark 的過濾器欄中輸入過濾條件，例如 ip.addr == 192.168.1.1 或 tcp.port == 80，然后按 Enter 鍵應用過濾器。

   使用統計工具：Wireshark 提供了各種統計工具，如 “IO 圖表”、“協議分級”、“端點” 等，可以幫助你更好地了解網絡流量和協議分布。

   使用協議解析：Wireshark 支持多種協議的解析，你可以展開協議樹，查看每個數據包的詳細信息，例如 HTTP 請求頭、TCP 頭部等。

5. 結束捕獲和分析：

   當你完成數據包捕獲和分析后，可以使用以下命令停止 tcpdump：

   sudo tcpdump -i <interface> -q stop
   

   在 Wireshark 中，點擊菜單欄的 “文件” -> “退出”，關閉 Wireshark。