捕获过滤器

当进行数据包捕获时，只有那些满足给定的包含/排除表达式的数据包会被捕获

捕获的BPF语法

限定词说明例子type指定名字或数字代表的意义host, net, portdir指明传输方向是前往还是来自名字或数字src, dstproto限定所要匹配的协议ether, ip, tcp, udp, http, ftp

使用例子

dst host 192.168.153.131 && tcp port 80 # 目的地址192.168.153.131 并且是tcp协议使用80端口 src net 192.168.153.0/24 || src port 80 # 源地址192.168.153.0/24网段 或者源端口为80 !tcp portrange 1-1024 || !src net 192.168.153.0/24 # tcp端口号范围不在1-1024或者源地址不在192.168.153.0/24 # host可以限定IPv4、IPv6、主机名称、MAC地址来进行过滤【ether host 00-1a-a0-52-e2-a0】

表达式样例

过滤器说明tcp[13]&32==32设置了URG位的TCP数据包tcp[13]&16==16设置了ACK位的TCP数据包tcp[13]&8==8设置了PSH位的TCP数据包tcp[13]&4==4设置了RST位的TCP数据包tcp[13]&2==2设置了SYN位的TCP数据包tcp[13]&1==1设置了FIN位的TCP数据包tcp[13]==18TCP SYN-ACK数据包(!)ether host 00:00:00:00:00:00流入或流出的MAC地址broadcast仅广播流量icmpicmp流量icmp[0:2]icmp目标不可达，主机不可达

显示过滤器

根据指定的表达式用于一个已捕获的数据包几何，将隐藏不想显示的数据包，或者只显示那些需要的数据包

可以直接在expression(表达式)处进行设置选择需要显示的内容自定义过滤器表达式

操作符

操作符说明==等于!=不等于> / <大于/小于and和or或xor有且仅有一个条件被满足not没有满足条件的

常用显示

过滤器说明!tcp.port==3389排出rdptcp.flags.syn==1具有SYN标志位的TCP数据包tcp.flags.rst==1具有RST标志位的TCP数据包smtp | pop | imap文本email流量