在Debian系統中，dumpcap 是一個非常強大的網絡數據包捕獲工具，通常作為 Wireshark 的一部分提供。以下是如何使用 dumpcap 捕獲并保存數據包的步驟：
首先，確保你已經安裝了 dumpcap。如果沒有安裝，可以使用以下命令進行安裝：
sudo apt update
sudo apt install wireshark
dumpcap 通常會隨 Wireshark 一起安裝。
以 root 權限運行 dumpcap：
dumpcap 需要 root 權限來捕獲數據包。你可以使用 sudo 來運行它：
sudo dumpcap
指定捕獲接口：
你需要指定要捕獲數據包的網絡接口。例如，如果你想捕獲連接到 eth0 接口的數據包，可以使用以下命令：
sudo dumpcap -i eth0
設置捕獲過濾器（可選）：
如果你只想捕獲特定類型的數據包，可以使用 -f 選項指定一個捕獲過濾器。例如，只捕獲 TCP 數據包：
sudo dumpcap -i eth0 -f "tcp"
保存捕獲的數據包：
默認情況下，dumpcap 會將捕獲的數據包保存到 /var/log/dumpcap 文件中。你可以使用 -w 選項指定一個不同的文件路徑來保存捕獲的數據包。例如，保存到當前目錄下的 capture.pcap 文件：
sudo dumpcap -i eth0 -w capture.pcap
限制捕獲的數據包數量（可選）：
如果你想限制捕獲的數據包數量，可以使用 -c 選項。例如，只捕獲前 100 個數據包：
sudo dumpcap -i eth0 -c 100 -w capture.pcap
實時查看捕獲的數據包（可選）：
如果你想在捕獲數據包的同時實時查看它們，可以將輸出重定向到 Wireshark：
sudo dumpcap -i eth0 -w - | wireshark -k -i -
以下是一個完整的示例命令，捕獲連接到 eth0 接口的前 100 個 TCP 數據包，并保存到當前目錄下的 capture.pcap 文件中：
sudo dumpcap -i eth0 -c 100 -f "tcp" -w capture.pcap
通過這些步驟，你應該能夠在 Debian 系統上成功使用 dumpcap 捕獲并保存數據包。
