作为业界标准的捕获工具,tcpdump提供了强大而又灵活的包过滤功能。作为tcpdump基础的libpcap包捕获引擎支持标准的包过滤规则,如基于5重包头的过滤(如基于源/目的IP地址/端口和IP协议类型)。 tcpdump/libpcap的包过滤规则也支持更多通用分组表达式,在这些表达式中,包中的任意字节范围都可以使用关系或二进制操作符进行检查。对于字节范围表达,你可以使用以下格式:
“proto”可以是熟知的协议之一(如ip,arp,tcp,udp,icmp,ipv6),“expr”表示与指定的协议头开头相关的字节偏移量。有我们熟知的直接偏移量如tcpflags,也有取值常量如tcp-syn,tcp-ack或者tcp-fin。“size”是可选的,表示从字节偏移量开始检查的字节数量。 使用这种格式,你可以像下面这样过滤TCP SYN,ACK或FIN包。 只捕获TCP SYN包:
只捕获TCP ACK包:
只捕获TCP FIN包:
之捕获TCP SYN或ACK包:
via: http://ask./capture-tcp-syn-ack-fin-packets-tcpdump.html 来源: xmodulo
译者: GOLinux
本文是原创投递或翻译投递, 欢迎转载,敬请在正文中标注并保留原文/译文链接和作者/译者等信息
|
|