【文章內(nèi)容簡介】 是傳輸源并且是傳輸目的). 例如, 39。src foo39。, 39。dst net 39。, 39。src or dst port ftpdata39。.(nt: 分別表示符合條件的數(shù)據(jù)包中, 源主機(jī)是foo, , 源或目的端口為 ftpdata).如果不指定dir修飾符, id 默認(rèn)的修飾符為src 或 ,比如SLIP(nt: Serial Line InternetProtocol, 串聯(lián)線路網(wǎng)際網(wǎng)絡(luò)協(xié)議), 以及l(fā)inux下指定39。any39。 設(shè)備, 并指定39。cooked39。(nt | rt: cooked 含義未知, 需補(bǔ)充) 抓取類型, 或其他設(shè)備類型,可以用39。inbound39。 和 39。outbount39。 修飾符來指定想要的傳輸方向. proto 修飾符描述id 所屬的協(xié)議. 可選的協(xié)議有: ether, fddi, tr, wlan, ip, ip6, arp, rarp, deet, tcp 以及 upd. (nt | rt: ether, fddi, tr, 具體含義未知, 需補(bǔ)充. 可理解為物理以太網(wǎng)傳輸協(xié)議, 光纖分布數(shù)據(jù)網(wǎng)傳輸協(xié)議, 以及用于路由跟蹤的協(xié)議. wlan, 無線局域網(wǎng)協(xié)議。 ip,ip6 即通常的TCP/IP協(xié)議棧中所使用的ipv4以及ipv6網(wǎng)絡(luò)層協(xié)議。 arp, rarp 即地址解析協(xié)議, 反向地址解析協(xié)議。 deet, Digital Equipment Corporation 開發(fā)的, 最早用于PDP11 機(jī)器互聯(lián)的網(wǎng)絡(luò)協(xié)議。 tcp and udp, 即通常TCP/IP協(xié)議棧中的兩個(gè)傳輸層協(xié)議). 例如, `ether src foo39。, `arp net 39。, `tcp port 2139。, `udp portrange 7000700939。分別表示 39。從以太網(wǎng)地址foo 來的數(shù)據(jù)包39。,39。39。, 39。發(fā)送或接收端口為21的 tcp協(xié)議數(shù)據(jù)包39。, 39。發(fā)送或接收端口范圍為70007009的udp協(xié)議數(shù)據(jù)包39。.如果不指定proto 修飾符, 則默認(rèn)為與相應(yīng)type匹配的修飾符. 例如, 39。src foo39。 含義是 39。(ip or arp orrarp) src foo39。 (nt: 即, 來自主機(jī)foo的ip/arp/rarp協(xié)議數(shù)據(jù)包, 默認(rèn)type為host),`net bar39。 含義是`(ip or arp or rarp) net bar39。(nt: 即, 來自或發(fā)往bar網(wǎng)絡(luò)的ip/arp/rarp協(xié)議數(shù)據(jù)包), `port 5339。 含義是 `(tcp or udp) port 5339。(nt: 即, 發(fā)送或接收端口為53的tcp/udp協(xié)議數(shù)據(jù)包). (nt: 由于tcpdump 直接通過數(shù)據(jù)鏈路層的 BSD 數(shù)據(jù)包過濾器或 DLPI(datalink provider interface, 數(shù)據(jù)鏈層提供者接口) 來直接獲得網(wǎng)絡(luò)數(shù)據(jù)包, 其可抓取的數(shù)據(jù)包可涵蓋上層的各種協(xié)議, 包括arp, rarp, icmp(因特網(wǎng)控制報(bào)文協(xié)議), p, ip6, tcp, udp, sctp(流控制傳輸協(xié)議). 對(duì)于修飾符后跟id 的格式,可理解為, type id 是對(duì)包最基本的過濾條件: 即對(duì)包相關(guān)的主機(jī), 網(wǎng)絡(luò), 端口的限制。 dir 表示對(duì)包的傳送方向的限制。 proto表示對(duì)包相關(guān)的協(xié)議限制) 39。fddi39。(nt: Fiber Distributed Data Interface) 實(shí)際上與39。ether39。 含義一樣: tcpdump 會(huì)把他們當(dāng)作一種39。39。指定 網(wǎng)絡(luò)接口上的數(shù)據(jù)鏈路層協(xié)議39。39。. 如同ehter網(wǎng)(以太網(wǎng)), FDDI 的頭部通常也會(huì)有源, 目的, 以及包類型, 從而可以像ether網(wǎng)數(shù)據(jù)包一樣對(duì)這些域進(jìn)行過濾. 此外, FDDI 頭部還有其他的域, 但不能被放到表達(dá)式中用來過濾 同樣, 39。tr39。 和 39。wlan39。 也和 39。ether39。 含義一致, 上一段對(duì)fddi 的描述同樣適用于tr(Token Ring) 和wlan( wireless LAN)的頭部. 協(xié)議數(shù)據(jù)包的頭部, 目的域稱為DA, 源域稱為 SA。而其中的 BSSID, RA, TA 域(nt | rt: 具體含義需補(bǔ)充)不會(huì)被檢測(nt: 不能被用于包過慮表達(dá)式中).除以上所描述的表達(dá)元(39。primitive39。)， 還有其他形式的表達(dá)元, 并且與上述表達(dá)元格式不同. 比如: gateway, broadcast, less, greater 以及算術(shù)表達(dá)式(nt: 其中每一個(gè)都算一種新的表達(dá)元). 下面將會(huì)對(duì)這些表達(dá)元進(jìn)行說明. 表達(dá)元之間還可以通過關(guān)鍵字and, or 以及 not 進(jìn)行連接, 從而可組成比較復(fù)雜的條件表達(dá)式. 比如,`host foo and not port ftp and not port ftpdata39。(nt: 其過濾條件可理解為, 數(shù)據(jù)包的主機(jī)為foo,并且端口不是ftp(端口21) 和ftpdata(端口20, 常用端口和名字的對(duì)應(yīng)可在linux 系統(tǒng)中的/etc/service 文件中找到)).為了表示方便, 同樣的修飾符可以被省略, 如39。tcp dst port ftp or ftpdata or domain39。 與以下的表達(dá)式含義相同39。tcp dst port ftp or tcp dst port ftpdata or tcp dst port domain39。.(nt: 其過濾條件可理解為,包的協(xié)議為tcp, 目的端口為ftp 或 ftpdata 或 domain(端口53) ). 可用的表達(dá)元有: (nt: True 在以下的描述中含義為: 相應(yīng)條件表達(dá)式中只含有以下所列的一個(gè)特定表達(dá)元, 此時(shí)表達(dá)式為真, 即條件得到滿足) dst host host 如果IPv4/v6 數(shù)據(jù)包的目的域是host, 則與此對(duì)應(yīng)的條件表達(dá)式為真. host 可以是一個(gè)ip地址, 也可以是一個(gè)主機(jī)名. src host host 如果IPv4/v6 數(shù)據(jù)包的源域是host, 則與此對(duì)應(yīng)的條件表達(dá)式為真. host 可以是一個(gè)ip地址, 也可以是一個(gè)主機(jī)名. host host 如果IPv4/v6數(shù)據(jù)包的源或目的地址是 host, 表達(dá)式之前可以添加以下關(guān)鍵字:ip, arp, rarp, 以及 : ip host host 也可以表達(dá)為: ether proto \ip and host host(nt: 這種表達(dá)方式在下面有說明, 其中ip之前需要有\(zhòng)來轉(zhuǎn)義, 因?yàn)閕p 對(duì)tcpdump 來說已經(jīng)是一個(gè)關(guān)鍵字了.) 如果host 是一個(gè)擁有多個(gè)IP 的主機(jī), 那么任何一個(gè)地址都會(huì)用于包的匹配(nt: 即發(fā)向host 的數(shù)據(jù)包的目的地址可以是這幾個(gè)IP中的任何一個(gè), 從host 接收的數(shù)據(jù)包的源地址也可以是這幾個(gè)IP中的任何一個(gè)). ether dst ehost 如果數(shù)據(jù)包(nt: 指tcpdump 可抓取的數(shù)據(jù)包, 包括ip 數(shù)據(jù)包, tcp數(shù)據(jù)包)的以太網(wǎng)目標(biāo)地址是ehost,則與此對(duì)應(yīng)的條件表達(dá)式為真. Ehost 可以是/etc/ethers 文件中的名字或一個(gè)數(shù)字地址(nt: 可通過 man ethers 看到對(duì)/etc/ethers 文件的描述, 樣例中用的是數(shù)字地址) ether src ehost 果數(shù)據(jù)包的以太網(wǎng)源地址是ehost, 則與此對(duì)應(yīng)的條件表達(dá)式為真. ether host ehost 如果數(shù)據(jù)包的以太網(wǎng)源地址或目標(biāo)地址是ehost, 則與此對(duì)應(yīng)的條件表達(dá)式為真. gateway host 如果數(shù)據(jù)包的網(wǎng)關(guān)地址是host, 則與此對(duì)應(yīng)的條件表達(dá)式為真. 需要注意的是, 這里的網(wǎng)關(guān)地址是指以太網(wǎng)地址, 而不是IP 地址(nt | rt: ., 例如, 可理解為39。注意39。. the Ethernet source or destination address, 以太網(wǎng)源和目標(biāo)地址, 可理解為, 指代上句中的39。網(wǎng)關(guān)地址39。 ). host 必須是名字而不是數(shù)字, 并且必須在機(jī)器的39。主機(jī)名ip地址39。以及39。主機(jī)名以太地址39。兩大映射關(guān)系中 有其條目 (前一映射關(guān)系可通過/etc/hosts文件, DNS 或 NIS得到, 而后一映射關(guān)系可通過/etc/ethers 文件得到. nt: /etc/ethers并不一定存在 , 可通過man ethers 看到其數(shù)據(jù)格式, 如何創(chuàng)建該文件, 未知,需補(bǔ)充).也就是說host 的含義是 ether host ehost 而不是 host host, , 該選項(xiàng)在支持IPv6地址格式的配置環(huán)境中不起作用(nt: configuration, 配置環(huán)境, 可理解為,通信雙方的網(wǎng)絡(luò)配置). dst net net 如果數(shù)據(jù)包的目標(biāo)地址(IPv4或IPv6格式)的網(wǎng)絡(luò)號(hào)字段為 net, 則與此對(duì)應(yīng)的條件表達(dá)式為真. et 可以是從網(wǎng)絡(luò)數(shù)據(jù)庫文件/etc/networks 中的名字, 也可以是一個(gè)數(shù)字形式的網(wǎng)絡(luò)編號(hào). 一個(gè)數(shù)字IPv4 網(wǎng)絡(luò)編號(hào)將以點(diǎn)分四元組(比如, ), 或點(diǎn)分三元組(比如, ), 或點(diǎn)分二元組(比如, ), 或單一單元組(比如, 10)來表達(dá)。 對(duì)應(yīng)于這四種情況的網(wǎng)絡(luò)掩碼分別是:四元組:(這也意味著對(duì)net 的匹配如同對(duì)主機(jī)地址(host)的匹配:地址的四個(gè)部分都用到了),三元組:, 二元組: , 一元組:. 對(duì)于IPv6 的地址格式, 網(wǎng)絡(luò)編號(hào)必須全部寫出來(8個(gè)部分必須全部寫出來)。 相應(yīng)網(wǎng)絡(luò)掩碼為: ff:ff:ff:ff:ff:ff:ff:ff, 所以IPv6 的網(wǎng)絡(luò)匹配是真正的39。host39。方式的匹配(nt | rt | rc:地址的8個(gè)部分都會(huì)用到, 是否不屬于網(wǎng)絡(luò)的字節(jié)填寫0, 需接下來補(bǔ)充), 但同時(shí)需要一個(gè)網(wǎng)絡(luò)掩碼長度參數(shù)來具體指定前面多少字節(jié)為網(wǎng)絡(luò)掩碼 (nt: 可通過下面的net net/len 來指定) src net net 如果數(shù)據(jù)包的源地址(IPv4或IPv6格式)的網(wǎng)絡(luò)號(hào)字段為 net, 則與此對(duì)應(yīng)的條件表達(dá)式為真. net net 如果數(shù)據(jù)包的源或目的地址(IPv4或IPv6格式)的網(wǎng)絡(luò)號(hào)字段為 net, 則與此對(duì)應(yīng)的條件表達(dá)式為真. net net mask netmask 如果數(shù)據(jù)包的源或目的地址(IPv4或IPv6格式)的網(wǎng)絡(luò)掩碼與netmask 匹配, 則與此對(duì)應(yīng)的條件表達(dá)式為真. 此選項(xiàng)之前還可以配合src和dst來匹配源網(wǎng)絡(luò)地址或目標(biāo)網(wǎng)絡(luò)地址(nt: 比如 src net net mask ) 該選項(xiàng)對(duì)于ipv6 網(wǎng)絡(luò)地址無效. net net/len 如果數(shù)據(jù)包的源或目的地址(IPv4或IPv6格式)的網(wǎng)絡(luò)編號(hào)字段的比特?cái)?shù)與len相同, (nt | rt | tt: src net net/24, 表示需要匹配源地址的網(wǎng)絡(luò)編號(hào)有24位的數(shù)據(jù)包). dst port port 如果數(shù)據(jù)包(包括ip/tcp, ip/udp, ip6/tcp or ip6/udp協(xié)議)的目的端口為port, 則與此對(duì)應(yīng)的條件表達(dá)式為真. port 可以是一個(gè)數(shù)字也可以是一個(gè)名字(相應(yīng)名字可以在/etc/services 中找到該名字, 也可以通過man tcp 和man udp 來得到相關(guān)描述信息 ). 如果使用名字, 則該名字對(duì)應(yīng)的端口號(hào)和相應(yīng)使用的協(xié)議都會(huì)被檢查. 如果只是使用一個(gè)數(shù)字端口號(hào),則只有相應(yīng)端口號(hào)被檢查(比如, dst port 513 將會(huì)使tcpdump抓取tcp協(xié)議的login 服務(wù)和udp協(xié)議的who 服務(wù)數(shù)據(jù)包, 而port domain 將會(huì)使tcpdump 抓取tcp協(xié)議的domain 服務(wù)數(shù)據(jù)包, 以及udp 協(xié)議的omain 數(shù)據(jù)包)(nt | rt: ambiguous name is used 不可理解, 需補(bǔ)充). src port port 如果數(shù)據(jù)包的源端口為port, 則與此對(duì)應(yīng)的條件表達(dá)式為真. port port 如果數(shù)據(jù)包的源或目的端口為port, 則與此對(duì)應(yīng)的條件表達(dá)式為真. dst portrange port1port2 如果數(shù)據(jù)包(包括ip/tcp, ip/udp, ip6/tcp or ip6/udp協(xié)議)的目的端口屬于port1到port2這個(gè)端口范圍(包括port1, port2), 則與此對(duì)應(yīng)的條件表達(dá)式為真. tcpdump 對(duì)port1 和port2 解析與對(duì)port 的解析一致(nt:在dst port port 選項(xiàng)的描述中有說明). src portrange port1port2 如果數(shù)據(jù)包的源端口屬于port1到port2這個(gè)端口范圍(包括 port1, port2), 則與此對(duì)應(yīng)的條件表達(dá)式為真. portrange port1port2 如果數(shù)據(jù)包的源端口或目的端口屬于port1到port2這個(gè)端口范圍(包括 port1, port2), 則與此對(duì)應(yīng)的條件表達(dá)式為真. 以上關(guān)于port 的選項(xiàng)都可以在其前面添加關(guān)