用-tttt参数可输出带日期的绝对时间戳（如2026-09-24 17:04:22.123456），解决默认相对时间戳无法跨会话比对、难与系统日志对齐的问题，便于问题排查和时间窗口筛选。
用 -tttt 参数即可让 tcpdump 在每行输出前显示完整、带日期的绝对时间戳，格式为 YYYY-MM-DD HH:MM:SS.μs（例如 2026-09-24 17:04:22.123456）。
为什么需要绝对时间戳
默认输出的时间戳是相对启动时刻的秒数（如 00:00:01.234567），不带日期，无法跨会话比对或关联系统日志。绝对时间戳能直接对应真实世界时间，方便排查问题、与应用日志对齐、做时间窗口筛选。
常用时间戳参数对比
-
-t：完全不显示时间戳 -
-tt：显示 Unix 时间戳（秒+微秒，如1758733462.123456） -
-ttt：显示相对于上一个包的增量时间（单位秒） -
-tttt：显示完整绝对时间（推荐用于人工阅读和初步分析）
实际使用示例
实时抓包并带绝对时间打印：
sudo tcpdump -i eth0 -A -s0 -tttt 'port 80' | head -20
输出首行类似：
2026-09-24 17:04:22.123456 IP 192.168.1.100.54321 > 203.208.60.1.80: Flags [P.], seq 1:101, ack 1, win 501, length 100
保存为 pcap 文件后，再用 -tttt 读取分析（时间戳来自原始捕获，不会被重写）：
tcpdump -r capture.pcap -A -tttt | grep -A2 "GET /api"
配合时间范围筛选（离线分析）
若要从已有 pcap 中提取某段时间的报文，需注意：-A 和 -B 是针对 pcap 内部时间戳的过滤参数，且格式必须严格匹配文件中的时间戳格式（通常就是 -tttt 输出的格式）：
- 先查看前几行确认格式：
tcpdump -r full.pcap -tttt | head -n 3 - 再按范围提取：
tcpdump -r full.pcap -A -tttt -A '2026-09-24 16:30:00' -B '2026-09-24 16:35:00'
