tcpdump高级过滤技巧 文档.docxVIP

tcpdump高级过滤技巧===================Sebastien Wains sebastien -the at sign- wains -dot- behttp://www.wains.be$Id: tcpdump_advanced_filters.txt 33 2008-05-07 17:40:11Z sw $http://www.wains.be/pub/networking/tcpdump_advanced_filters.txt注意：例子中都用-i参数指定了抓取的网卡为eth1，实际使用时请自行变化。翻译此文的目的是加深记忆，可能理解有偏差，建议看原文或man手册。注：由于大部分是翻译的，所以只是高级技巧，并非权威指南！基本语法========过滤主机--------- 抓取所有经过eth1，目的或源地址是的网络数据# tcpdump -i eth1 host - 源地址# tcpdump -i eth1 src host - 目的地址# tcpdump -i eth1 dst host 过滤端口--------- 抓取所有经过eth1，目的或源端口是25的网络数据# tcpdump -i eth1 port 25- 源端口# tcpdump -i eth1 src port 25- 目的端口# tcpdump -i eth1 dst port 25网络过滤--------# tcpdump -i eth1 net 192.168# tcpdump -i eth1 src net 192.168# tcpdump -i eth1 dst net 192.168协议过滤--------# tcpdump -i eth1 arp# tcpdump -i eth1 ip# tcpdump -i eth1 tcp# tcpdump -i eth1 udp# tcpdump -i eth1 icmp常用表达式----------非 : ! or not (去掉双引号)且 : or and或 : || or or - 抓取所有经过eth1，目的地址是54或00端口是80的TCP数据# tcpdump -i eth1 ((tcp) and (port 80) and ((dst host 54) or (dst host 00)))- 抓取所有经过eth1，目标MAC地址是00:01:02:03:04:05的ICMP数据# tcpdump -i eth1 ((icmp) and ((ether dst host 00:01:02:03:04:05)))- 抓取所有经过eth1，目的网络是192.168，但目的主机不是00的TCP数据# tcpdump -i eth1 ((tcp) and ((dst net 192.168) and (not dst host 00)))高级包头过滤============首先了解如何从包头过滤信息proto[x:y]?????? : 过滤从x字节开始的y字节数。比如ip[2:2]过滤出3、4字节（第一字节从0开始排）proto[x:y] z = 0??????: proto[x:y]和z的与操作为0proto[x:y] z !=0??????: proto[x:y]和z的与操作不为0proto[x:y] z = z??????: proto[x:y]和z的与操作为zproto[x:y] = z????????????: proto[x:y]等于z操作符 : , , =, =, =, !=IP头----??????0???????????? 1???????????? 2???????????? 3??????0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1??????+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+??????|Version|??IHL??|Type of Service|?????? Total Length??????|??????+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+??????|??????Identification??????|Flags|????Fragment Offset?? |??????+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+??????|??Time to Live |?? Protocol?