资源描述：
《wireshark抓包过滤条件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、附录:tcpdump的表达元(nt:True在以下的描述中含义为:相应条件表达式中只含有以下所列的一个特定表达元,此时表达式为真,即条件得到满足)dsthosthost如果IPv4/v6数据包的目的域是host,则与此对应的条件表达式为真.host可以是一个ip地址,也可以是一个主机名.srchosthost如果IPv4/v6数据包的源域是host,则与此对应的条件表达式为真.host可以是一个ip地址,也可以是一个主机名.hosthost如果IPv4/v6数据包的源或目的地址是host,则与此对应
2、的条件表达式为真.以上的几个host表达式之前可以添加以下关键字:ip,arp,rarp,以及ip6.比如:iphosthost也可以表达为:etherprotoipandhosthost(nt:这种表达方式在下面有说明,其中ip之前需要有来转义,因为ip对tcpdump来说已经是一个关键字了.)如果host是一个拥有多个IP的主机,那么任何一个地址都会用于包的匹配(nt:即发向host的数据包的目的地址可以是这几个IP中的任何一个,从host接收的数据包的源地址也可以是这几个IP中的任何一个)
3、.etherdstehost如果数据包(nt:指tcpdump可抓取的数据包,包括ip数据包,tcp数据包)的以太网目标地址是ehost,则与此对应的条件表达式为真.Ehost可以是/etc/ethers文件中的名字或一个数字地址(nt:可通过manethers看到对/etc/ethers文件的描述,样例中用的是数字地址)ethersrcehost如果数据包的以太网源地址是ehost,则与此对应的条件表达式为真.etherhostehost如果数据包的以太网源地址或目标地址是ehost,则与此对应的
4、条件表达式为真.gatewayhost如果数据包的网关地址是host,则与此对应的条件表达式为真.需要注意的是,这里的网关地址是指以太网地址,而不是IP地址(nt
5、rt:I.e.,例如,可理解为'注意'.theEthernetsourceordestinationaddress,以太网源和目标地址,可理解为,指代上句中的'网关地址').host必须是名字而不是数字,并且必须在机器的'主机名-ip地址'以及'主机名-以太地址'两大映射关系中有其条目(前一映射关系可通过/etc/hosts文件,DNS或
6、NIS得到,而后一映射关系可通过/etc/ethers文件得到.nt:/etc/ethers并不一定存在,可通过manethers看到其数据格式,如何创建该文件,未知,需补充).也就是说host的含义是etherhostehost而不是hosthost,并且ehost必须是名字而不是数字.目前,该选项在支持IPv6地址格式的配置环境中不起作用(nt:configuration,配置环境,可理解为,通信双方的网络配置).dstnetnet如果数据包的目标地址(IPv4或IPv6格式)的网络号字段为ne
7、t,则与此对应的条件表达式为真.net可以是从网络数据库文件/etc/networks中的名字,也可以是一个数字形式的网络编号.一个数字IPv4网络编号将以点分四元组(比如,192.168.1.0),或点分三元组(比如,192.168.1),或点分二元组(比如,172.16),或单一单元组(比如,10)来表达;对应于这四种情况的网络掩码分别是:四元组:255.255.255.255(这也意味着对net的匹配如同对主机地址(host)的匹配:地址的四个部分都用到了),三元组:255.255.255.0
8、,二元组:255.255.0.0,一元组:255.0.0.0.对于IPv6的地址格式,网络编号必须全部写出来(8个部分必须全部写出来);相应网络掩码为:ff:ff:ff:ff:ff:ff:ff:ff,所以IPv6的网络匹配是真正的'host'方式的匹配(nt
9、rt
10、rc:地址的8个部分都会用到,是否不属于网络的字节填写0,需接下来补充),但同时需要一个网络掩码长度参数来具体指定前面多少字节为网络掩码(nt:可通过下面的netnet/len来指定)srcnetnet如果数据包的源地址(IPv4或IPv
11、6格式)的网络号字段为net,则与此对应的条件表达式为真.netnet如果数据包的源或目的地址(IPv4或IPv6格式)的网络号字段为net,则与此对应的条件表达式为真.netnetmasknetmask如果数据包的源或目的地址(IPv4或IPv6格式)的网络掩码与netmask匹配,则与此对应的条件表达式为真.此选项之前还可以配合src和dst来匹配源网络地址或目标网络地址(nt:比如srcnetnetmask255.255.255.0).该选项对于ipv6网络地址
