tcpdump

tcpdump -i eth0 -s0 -w resolv.pcap port 53

Анализ

tcpdump -n -i eth0 -l | tee resolv.pcap

затем Wireshark

Ссылки

http://www.lexpr.ru/tcpdump

http://storm.in.ua/a2/analiz-setevogo-trafika-s-pomoschyu-Tcpdump.html

http://www.inattack.ru/article/analiz-trafika-pri-pomoschi-tcpdump-chas/266.html#.UIpnsYKCgUA