tcpdump

 

Linux  報文捕獲及分析、服務開啓狀態分析
    抓包工具、分析工具
        tcpdump，libpcap（winpcap）
        wireshark
        tshark
        snort（Nids）入侵檢測
        sniffer 商業
    掃描器
        nmap
        snort(NIDS)+iptables (NTPS)
        ossec(NIDS)

 

tcpdump -i any -s 0 -A -n -p port 3306 and src IP地址 | grep -i -E 'select|insert'    截獲來自IP地址的帶有select|insert的數據包

 

tcpdump語法
　　tcpdump [options] [Protocol] [Direction] [Host(s)] [Value] [logical operation] [other expression]
    Protocol 協議
        ip,tcp,udp/ether/fddi/arp/rarp/decnet/lat/sca/mopdl
    Direction 流向
        src, dst， src and dst, src or dst
　　　　　host 192.168.0.11 == src or dst host 192.168.0.11
         src 192.168.0.11 == src host 192.168.0.11
 Host(s) 目標對象，不是指主機
        net, port, host, portrange
        src net 192.168.0.0/24
        src host 192.168.0.3
        dst port 3306
    多條件
        and,  or, not （&&  ||  !）

捕獲其餘主機上的包須要交換機作端口鏡像，以及監測機須要開啓網卡混雜模式，才能收到包

 

 參考：http://www.cnblogs.com/ggjucheng/archive/2012/01/14/2322659.html

EXAMPLES
       To print all packets arriving at or departing from sundown:
              tcpdump host sundown　　=>捕獲sundown主機出入數據包
　　　　　　　　tcpdump host 192.168.0.11　

       To print traffic between helios and either hot or ace:=>捕獲helios與hot或者ace的數據包
              tcpdump host helios and \( hot or ace \)　　
　　　　　　　　tcpdump host 192.168.0.11 and \( 192.168.0.22 or 192.168.0.33 \)
       To print all IP packets between ace and any host except helios:=>打印ace與任何其餘主機之間通訊的IP 數據包, 但不包括與helios之間的數據包.
              tcpdump ip host ace and not helios　　
　　　　　　　　tcpdump ip host 192.168.0.11 and ! 192.168.0.22

截獲主機192.168.0.11發送的全部數據
tcpdump -i eth0 src 192.168.0.11 hostname
監視全部送到主機192.168.0.11的數據包
tcpdump -i eth0 dst 192.168.0.11 hostname

監視指定主機和端口的數據包
若是想要獲取主機210.27.48.1接收或發出的telnet包，使用以下命令
tcpdump tcp port 23 and host 210.27.48.1
對本機的udp 123 端口進行監視 123 爲ntp的服務端口
tcpdump udp port 123 

      
To print all traffic between local hosts and hosts at Berkeley:打印本地主機與Berkeley網絡上的主機之間的全部通訊數據包
(nt: ucb-ether, 此處可理解爲'Berkeley網絡'的網絡地址,此表達式最原始的含義可表達爲: 打印網絡地址爲ucb-ether的全部數據包)
　　tcpdump net ucb-ether

To print all ftp traffic through internet gateway snup: (note that the expression is quoted to prevent the
shell from (mis-)interpreting the parentheses):打印全部經過網關snup的ftp數據包(注意, 表達式被單引號括起來了, 這能夠防止shell對其中的括號進行錯誤解析)
　　tcpdump 'gateway snup and (port ftp or ftp-data)'

To  print traffic neither sourced from nor destined for local hosts (if you gateway to one other net, this
stuff should never make it onto your local net).打印全部源地址或目標地址是本地主機的IP數據包
　　tcpdump ip and not net localnet 
To print the start and end packets (the SYN and FIN packets) of each TCP conversation that involves a non-
local host.打印TCP會話中的的開始和結束數據包, 而且數據包的源或目的不是本地網絡上的主機.(nt: localnet, 實際使用時要真正替換成本地網絡的名字))
tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0 and not src and dst net localnet'

To  print  all  IPv4 HTTP packets to and from port 80, i.e. print only packets that contain data, not, for
example, SYN and FIN packets and ACK-only packets.  (IPv6 is left as an exercise for the reader.)
打印全部源或目的端口是80, 網絡層協議爲IPv4, 而且含有數據,而不是SYN,FIN以及ACK-only等不含數據的數據包.(ipv6的版本的表達式可作練習)
tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

To print IP packets longer than 576 bytes sent through gateway snup:打印長度超過576字節, 而且網關地址是snup的IP數據包
tcpdump 'gateway snup and ip[2:2] > 576'

To print IP broadcast or multicast packets that were not sent via Ethernet broadcast or multicast:打印全部IP層廣播或多播的數據包， 但不是物理以太網層的廣播或多播數據報
tcpdump 'ether[0] & 1 = 0 and ip[16] >= 224'

To print all ICMP packets that are not echo requests/replies (i.e., not ping packets):打印除'echo request'或者'echo reply'類型之外的ICMP數據包( 好比,須要打印全部非ping 程序產生的數據包時可用到此表達式 .
(nt: 'echo reuqest' 與 'echo reply' 這兩種類型的ICMP數據包一般由ping程序產生))
tcpdump 'icmp[icmptype] != icmp-echo and icmp[icmptype] != icmp-echoreply'

 

tcpdump 與wireshark

Wireshark(之前是ethereal)是Windows下很是簡單易用的抓包工具。但在Linux下很難找到一個好用的圖形化抓包工具。
 還好有Tcpdump。咱們能夠用Tcpdump + Wireshark 的完美組合實現：在 Linux 裏抓包，而後在Windows 裏分析包。

tcpdump tcp -i eth1 -t -s 0 -c 100 and dst port ! 22 and src net 192.168.1.0/24 -w ./target.cap
　　(1)tcp: ip icmp arp rarp 和 tcp、udp、icmp這些選項等都要放到第一個參數的位置，用來過濾數據報的類型
　　(2)-i eth1 : 只抓通過接口eth1的包
　　(3)-t : 不顯示時間戳
　　(4)-s 0 : 抓取數據包時默認抓取長度爲68字節。加上-S 0 後能夠抓到完整的數據包
　　(5)-c 100 : 只抓取100個數據包
　　(6)dst port ! 22 : 不抓取目標端口是22的數據包
　　(7)src net 192.168.1.0/24 : 數據包的源網絡地址爲192.168.1.0/24
　　(8)-w ./target.cap : 保存成cap文件，方便用ethereal(即wireshark)分析

 

使用tcpdump抓取HTTP包

tcpdump  -XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854
0x4745 爲"GET"前兩個字母"GE",0x4854 爲"HTTP"前兩個字母"HT"。
tcpdump 對截獲的數據並無進行完全解碼，數據包內的大部份內容是使用十六進制的形式直接打印輸出的。
顯然這不利於分析網絡故障，一般的解決辦法是先使用帶-w參數的tcpdump 截獲數據並保存到文件中，而後再使用其餘程序(如Wireshark)進行解碼分析。固然也應該定義過濾規則，以免捕獲的數據包填滿整個硬盤。

 

輸出信息含義（略）
首先咱們注意一下，基本上tcpdump總的的輸出格式爲：系統時間 來源主機.端口 > 目標主機.端口 數據包參數

 

tcpdump命令使用

[root@node86 ~]# tcpdump --help
tcpdump version 4.1-PRE-CVS_2015_07_23
libpcap version 1.4.0
Usage: tcpdump [-aAdDefhIJKlLnNOpqRStuUvxX] [ -B size ] [ -c count ]
                [ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
                [ -i interface ] [ -j tstamptype ] [ -M secret ]
                [ -P in|out|inout ]
                [ -r file ] [ -s snaplen ] [ -T type ] [ -w file ]
                [ -W filecount ] [ -y datalinktype ] [ -z command ]
                [ -Z user ] [ expression ]

[root@node85 ~]# tcpdump -D
1.eth0
2.bluetooth0 (Bluetooth adapter number 0)
3.nflog (Linux netfilter log (NFLOG) interface)
4.nfqueue (Linux netfilter queue (NFQUEUE) interface)
5.usbmon1 (USB bus number 1)
6.usbmon2 (USB bus number 2)
7.any (Pseudo-device that captures on all interfaces)
8.lo

 

經常使用選項

-A　　以ASCII碼方式顯示每個數據包(不會顯示數據包中鏈路層頭部信息). 在抓取包含網頁數據的數據包時, 可方便查看數據(nt: 即Handy for capturing web pages).
-c　　count　　tcpdump將在接受到count個數據包後退出.
-e　　每行的打印輸出中將包括數據包的數據鏈路層頭部信息
-i　　interface
　　　　指定tcpdump 須要監聽的接口. 若是沒有指定, tcpdump 會從系統接口列表中搜尋編號最小的已配置好的接口(不包括 loopback 接口).一但找到第一個符合條件的接口, 搜尋立刻結束.
-n　　不對地址端口號等進行數字表示到名字表示的轉換.
-nn　　不對協議端口號等進行數字表示到名字表示的轉換.
-q　　快速(也許用'安靜'更好?)打印輸出. 即打印不多的協議相關信息, 從而輸出行都比較簡短.
-r  file　　從文件file 中讀取包數據. 若是file 字段爲 '-' 符號, 則tcpdump 會從標準輸入中讀取包數據.

-v    當分析和打印的時候, 產生詳細的輸出. 好比, 包的生存時間, 標識, 總長度以及IP包的一些選項. 這也會打開一些附加的包完整性檢測, 好比對IP或ICMP包頭部的校驗和.
-vv   產生比-v更詳細的輸出. 好比, NFS迴應包中的附加域將會被打印, SMB數據包也會被徹底解碼.
-vvv  產生比-vv更詳細的輸出. 好比, telent 時所使用的SB, SE 選項將會被打印, 若是telnet同時使用的是圖形界面,
      其相應的圖形選項將會以16進制的方式打印出來(nt: telnet 的SB,SE選項含義未知, 另需補充).
-w    把包數據直接寫入文件而不進行分析和打印輸出. 這些包數據可在隨後經過-r 選項來從新讀入並進行分析和打印.
-X    tcpdump 會打印每一個包的頭部數據, 同時會以16進制和ASCII碼形式打印出每一個包的數據(但不包括鏈接層的頭部).這對於分析一些新協議的數據包很方便.
-XX   tcpdump 會打印每一個包的頭部數據, 同時會以16進制和ASCII碼形式打印出每一個包的數據, 其中包括數據鏈路層的頭部.這對於分析一些新協議的數據包很方便.
-tttt  在每行打印的時間戳以前添加日期的打印
-S　　打印TCP 數據包的順序號時, 使用絕對的順序號, 而不是相對的順序號.(nt: 相對順序號可理解爲, 相對第一個TCP 包順序號的差距,好比, 接受方收到第一個數據包的絕對順序號爲232323, 
　　　　對於後來接收到的第2個,第3個數據包, tcpdump會打印其序列號爲1, 2分別表示與第一個數據包的差距爲1 和 2. 而若是此時-S 選項被設置, 對於後來接收到的第2個, 第3個數據包會打印出其絕對順序號:232324, 232325).
-s  snaplen
　　　　設置tcpdump的數據包抓取長度爲snaplen, 若是不設置默認將會是68字節(而支持網絡接口分接頭(nt: NIT, 上文已有描述,可搜索'網絡接口分接頭'關鍵字找到那裏)的SunOS系列操做系統中默認的也是最小值是96).
　　　　68字節對於IP, ICMP(nt: Internet Control Message Protocol,因特網控制報文協議), TCP 以及 UDP 協議的報文已足夠, 
　　　　但對於名稱服務(nt: 可理解爲dns, nis等服務), NFS服務相關的數據包會產生包截短. 若是產生包截短這種狀況, tcpdump的相應打印輸出行中會出現''[|proto]''的標志（proto 實際會顯示爲被截短的數據包的相關協議層次). 
　　　　須要注意的是, 採用長的抓取長度(nt: snaplen比較大), 會增長包的處理時間, 而且會減小tcpdump 可緩存的數據包的數量， 從而會致使數據包的丟失. 因此, 在能抓取咱們想要的包的前提下, 抓取長度越小越好.
　　　　把snaplen 設置爲0 意味着讓tcpdump自動選擇合適的長度來抓取數據包.

-C file-size (nt: 此選項用於配合-w file 選項使用) 該選項使得tcpdump 在把原始數據包直接保存到文件中以前, 檢查此文件大小是否超過file-size. 若是超過了, 將關閉此文件,另創一個文件繼續用於原始數據包的記錄. 
　　新建立的文件名與-w 選項指定的文件名一致, 但文件名後多了一個數字.該數字會從1開始隨着新建立文件的增多而增長. 　　
　　file-size的單位是百萬字節(nt: 這裏指1,000,000個字節,並不是1,048,576個字節, 後者是以1024字節爲1k, 1024k字節爲1M計算所得, 即1M=1024 ＊ 1024 ＝ 1,048,576)

-d  以容易閱讀的形式,在標準輸出上打印出編排過的包匹配碼, 隨後tcpdump中止.(nt | rt: human readable, 容易閱讀的,一般是指以ascii碼來打印一些信息. compiled, 編排過的. packet-matching code, 包匹配碼,含義未知, 需補充)

-dd 以C語言的形式打印出包匹配碼.

-ddd 以十進制數的形式打印出包匹配碼(會在包匹配碼以前有一個附加的'count'前綴).

-D  打印系統中全部tcpdump能夠在其上進行抓包的網絡接口. 每個接口會打印出數字編號, 相應的接口名字, 以及可能的一個網絡接口描述. 其中網絡接口名字和數字編號能夠用在tcpdump 的-i flag 選項(nt: 把名字或數字代替flag), 來指定要在其上抓包的網絡接口.
    此選項在不支持接口列表命令的系統上頗有用(nt: 好比, Windows 系統, 或缺少 ifconfig -a 的UNIX系統); 接口的數字編號在windows 2000 或其後的系統中頗有用, 由於這些系統上的接口名字比較複雜, 而不易使用.

    若是tcpdump編譯時所依賴的libpcap庫太老,-D 選項不會被支持, 由於其中缺少 pcap_findalldevs()函數.
-E  spi@ipaddr algo:secret,...
    可經過spi@ipaddr algo:secret 來解密IPsec ESP包(nt | rt:IPsec Encapsulating Security Payload,IPsec 封裝安全負載, IPsec可理解爲, 一整套對ip數據包的加密協議, ESP 爲整個IP 數據包或其中上層協議部分被加密後的數據,前者的工做模式稱爲隧道模式; 後者的工做模式稱爲傳輸模式 . 工做原理, 另需補充).
    須要注意的是, 在終端啓動tcpdump 時, 能夠爲IPv4 ESP packets 設置密鑰(secret）.

    可用於加密的算法包括des-cbc, 3des-cbc, blowfish-cbc, rc3-cbc, cast128-cbc, 或者沒有(none).默認的是des-cbc(nt: des, Data Encryption Standard, 數據加密標準, 加密算法未知, 另需補充).secret 爲用於ESP 的密鑰, 使用ASCII 字符串方式表達. 若是以 0x 開頭, 該密鑰將以16進制方式讀入.

    該選項中ESP 的定義遵循RFC2406, 而不是 RFC1827. 而且, 此選項只是用來調試的, 不推薦以真實密鑰(secret)來使用該選項, 由於這樣不安全: 在命令行中輸入的secret 能夠被其餘人經過ps 等命令查看到.

    除了以上的語法格式(nt: 指spi@ipaddr algo:secret), 還能夠在後面添加一個語法輸入文件名字供tcpdump 使用(nt：即把spi@ipaddr algo:secret,... 中...換成一個語法文件名). 此文件在接受到第一個ESP　包時會打開此文件, 因此最好此時把賦予tcpdump 的一些特權取消(nt: 可理解爲, 這樣防範以後, 當該文件爲惡意編寫時,不至於形成過大損害).

-f  顯示外部的IPv4 地址時(nt: foreign IPv4 addresses, 可理解爲, 非本機ip地址), 採用數字方式而不是名字.(此選項是用來對付Sun公司的NIS服務器的缺陷(nt: NIS, 網絡信息服務, tcpdump 顯示外部地址的名字時會用到她提供的名稱服務): 此NIS服務器在查詢非本地地址名字時,經常會陷入無盡的查詢循環).

    因爲對外部(foreign)IPv4地址的測試須要用到本地網絡接口(nt: tcpdump 抓包時用到的接口)及其IPv4 地址和網絡掩碼. 若是此地址或網絡掩碼不可用, 或者此接口根本就沒有設置相應網絡地址和網絡掩碼(nt: linux 下的 'any' 網絡接口就不須要設置地址和掩碼, 不過此'any'接口能夠收到系統中全部接口的數據包), 該選項不能正常工做.

-F  file
    使用file 文件做爲過濾條件表達式的輸入, 此時命令行上的輸入將被忽略.


    在採用2.2版本或以後版本內核的Linux 操做系統上, 'any' 這個虛擬網絡接口可被用來接收全部網絡接口上的數據包(nt: 這會包括目的是該網絡接口的, 也包括目的不是該網絡接口的). 
    須要注意的是若是真實網絡接口不能工做在'混雜'模式(promiscuous)下,則沒法在'any'這個虛擬的網絡接口上抓取其數據包.

    若是 -D 標誌被指定, tcpdump會打印系統中的接口編號，而該編號就可用於此處的interface 參數.

-l  對標準輸出進行行緩衝(nt: 使標準輸出設備遇到一個換行符就立刻把這行的內容打印出來).在須要同時觀察抓包打印以及保存抓包記錄的時候頗有用. 好比, 可經過如下命令組合來達到此目的:
    ``tcpdump  -l  |  tee dat'' 或者 ``tcpdump  -l   > dat  &  tail  -f  dat''.(nt: 前者使用tee來把tcpdump 的輸出同時放到文件dat和標準輸出中, 然後者經過重定向操做'>', 把tcpdump的輸出放到dat 文件中, 同時經過tail把dat文件中的內容放到標準輸出中)

-L  列出指定網絡接口所支持的數據鏈路層的類型後退出.(nt: 指定接口經過-i 來指定)

-m  module
    經過module 指定的file 裝載SMI MIB 模塊(nt: SMI，Structure of Management Information, 管理信息結構MIB, Management Information Base, 管理信息庫. 可理解爲, 這二者用於SNMP(Simple Network Management Protoco)協議數據包的抓取. 具體SNMP 的工做原理未知, 另需補充).

    此選項可屢次使用, 從而爲tcpdump 裝載不一樣的MIB 模塊.

-M  secret  若是TCP 數據包(TCP segments)有TCP-MD5選項(在RFC 2385有相關描述), 則爲其摘要的驗證指定一個公共的密鑰secret.

-N  不打印出host 的域名部分. 好比, 若是設置了此選現, tcpdump 將會打印'nic' 而不是 'nic.ddn.mil'.

-O  不啓用進行包匹配時所用的優化代碼. 當懷疑某些bug是由優化代碼引發的, 此選項將頗有用.

-p  通常狀況下, 把網絡接口設置爲非'混雜'模式. 但必須注意 , 在特殊狀況下此網絡接口仍是會以'混雜'模式來工做； 從而, '-p' 的設與不設, 不能當作如下選現的代名詞:'ether host {local-hw-add}' 或  'ether broadcast'(nt: 前者表示只匹配以太網地址爲host 的包, 後者表示匹配以太網地址爲廣播地址的數據包).
-R  設定tcpdump 對 ESP/AH 數據包的解析按照 RFC1825而不是RFC1829(nt: AH, 認證頭, ESP， 安全負載封裝, 這二者會用在IP包的安全傳輸機制中). 若是此選項被設置, tcpdump 將不會打印出'禁止中繼'域(nt: relay prevention field). 另外,因爲ESP/AH規範中沒有規定ESP/AH數據包必須擁有協議版本號域,因此tcpdump不能從收到的ESP/AH數據包中推導出協議版本號.

-T  type
    強制tcpdump按type指定的協議所描述的包結構來分析收到的數據包.  目前已知的type 可取的協議爲:
    aodv (Ad-hoc On-demand Distance Vector protocol, 按需距離向量路由協議, 在Ad hoc(點對點模式)網絡中使用),
    cnfp (Cisco  NetFlow  protocol),  rpc(Remote Procedure Call), rtp (Real-Time Applications protocol),
    rtcp (Real-Time Applications con-trol protocol), snmp (Simple Network Management Protocol),
    tftp (Trivial File Transfer Protocol, 碎文件協議), vat (Visual Audio Tool, 可用於在internet 上進行電
    視電話會議的應用層協議), 以及wb (distributed White Board, 可用於網絡會議的應用層協議).

-t     在每行輸出中不打印時間戳
-tt    不對每行輸出的時間進行格式處理(nt: 這種格式一眼可能看不出其含義, 如時間戳打印成1261798315)
-ttt   tcpdump 輸出時, 每兩行打印之間會延遲一個段時間(以毫秒爲單位)
-u     打印出未加密的NFS 句柄(nt: handle可理解爲NFS 中使用的文件句柄, 這將包括文件夾和文件夾中的文件)

-U    使得當tcpdump在使用-w 選項時, 其文件寫入與包的保存同步.(nt: 即, 當每一個數據包被保存時, 它將及時被寫入文件中,而不是等文件的輸出緩衝已滿時才真正寫入此文件)
      -U 標誌在老版本的libcap庫(nt: tcpdump 所依賴的報文捕獲庫)上不起做用, 由於其中缺少pcap_cump_flush()函數.

-W    filecount
      此選項與-C 選項配合使用, 這將限制可打開的文件數目, 而且當文件數據超過這裏設置的限制時, 依次循環替代以前的文件, 這至關於一個擁有filecount 個文件的文件緩衝池. 同時, 該選項會使得每一個文件名的開頭會出現足夠多並用來佔位的0, 這能夠方便這些文件被正確的排序.

-x    當分析和打印時, tcpdump 會打印每一個包的頭部數據, 同時會以16進制打印出每一個包的數據(但不包括鏈接層的頭部).總共打印的數據大小不會超過整個數據包的大小與snaplen 中的最小值. 必需要注意的是, 若是高層協議數據沒有snaplen 這麼長,而且數據鏈路層(好比, Ethernet層)有填充數據, 則這些填充數據也會被打印.(nt: so for link  layers  that pad, 未能銜接理解和翻譯, 需補充 )

-xx   tcpdump 會打印每一個包的頭部數據, 同時會以16進制打印出每一個包的數據, 其中包括數據鏈路層的頭部.

-y    datalinktype
      設置tcpdump 只捕獲數據鏈路層協議類型是datalinktype的數據包

-Z    user
      使tcpdump 放棄本身的超級權限(若是以root用戶啓動tcpdump, tcpdump將會有超級用戶權限), 並把當前tcpdump的用戶ID設置爲user, 組ID設置爲user首要所屬組的ID(nt: tcpdump 此處可理解爲tcpdump 運行以後對應的進程)
      此選項也可在編譯的時候被設置爲默認打開.(nt: 此時user 的取值未知, 需補充)

other

 

 

附錄:tcpdump的表達元

(nt: True 在如下的描述中含義爲: 相應條件表達式中只含有如下所列的一個特定表達元, 此時表達式爲真, 即條件獲得知足)

dst host host
若是IPv4/v6 數據包的目的域是host, 則與此對應的條件表達式爲真.host 能夠是一個ip地址, 也能夠是一個主機名.
src host host
若是IPv4/v6 數據包的源域是host, 則與此對應的條件表達式爲真.
host 能夠是一個ip地址, 也能夠是一個主機名.
host host

若是IPv4/v6數據包的源或目的地址是 host, 則與此對應的條件表達式爲真.以上的幾個host 表達式以前能夠添加如下關鍵字:ip, arp, rarp, 以及 ip6.好比:
ip host host
也能夠表達爲:
ether proto \ip and host host(nt: 這種表達方式在下面有說明, 其中ip以前須要有\來轉義,由於ip 對tcpdump 來講已是一個關鍵字了.)

若是host 是一個擁有多個IP 的主機, 那麼任何一個地址都會用於包的匹配(nt: 即發向host 的數據包的目的地址能夠是這幾個IP中的任何一個, 從host 接收的數據包的源地址也能夠是這幾個IP中的任何一個).

ether dst ehost
若是數據包(nt: 指tcpdump 可抓取的數據包, 包括ip 數據包, tcp數據包)的以太網目標地址是ehost,則與此對應的條件表達式爲真. Ehost 能夠是/etc/ethers 文件中的名字或一個數字地址(nt: 可經過 man ethers 看到對/etc/ethers 文件的描述, 樣例中用的是數字地址)

ether src ehost
若是數據包的以太網源地址是ehost, 則與此對應的條件表達式爲真.

ether host ehost
若是數據包的以太網源地址或目標地址是ehost, 則與此對應的條件表達式爲真.

gateway host
若是數據包的網關地址是host, 則與此對應的條件表達式爲真. 須要注意的是, 這裏的網關地址是指以太網地址, 而不是IP 地址(nt | rt: I.e., 例如, 可理解爲'注意'.the Ethernet source or destination address, 以太網源和目標地址, 可理解爲, 指代上句中的'網關地址' ).host 必須是名字而不是數字, 而且必須在機器的'主機名-ip地址'以及'主機名-以太地址'兩大映射關係中 有其條目(前一映射關係可經過/etc/hosts文件, DNS 或 NIS獲得, 然後一映射關係可經過/etc/ethers 文件獲得. nt: /etc/ethers並不必定存在 , 可經過man ethers 看到其數據格式, 如何建立該文件, 未知,需補充).也就是說host 的含義是 ether host ehost 而不是 host host, 而且ehost必須是名字而不是數字.
目前, 該選項在支持IPv6地址格式的配置環境中不起做用(nt: configuration, 配置環境, 可理解爲,通訊雙方的網絡配置).

dst net net
若是數據包的目標地址(IPv4或IPv6格式)的網絡號字段爲 net, 則與此對應的條件表達式爲真.
net 能夠是從網絡數據庫文件/etc/networks 中的名字, 也能夠是一個數字形式的網絡編號.

一個數字IPv4 網絡編號將以點分四元組(好比, 192.168.1.0), 或點分三元組(好比, 192.168.1 ), 或點分二元組(好比, 172.16), 或單一單元組(好比, 10)來表達;

對應於這四種狀況的網絡掩碼分別是:四元組:255.255.255.255(這也意味着對net 的匹配如同對主機地址(host)的匹配:地址的四個部分都用到了),三元組:255.255.255.0, 二元組: 255.255.0.0, 一元組:255.0.0.0.

對於IPv6 的地址格式, 網絡編號必須所有寫出來(8個部分必須所有寫出來); 相應網絡掩碼爲:
ff:ff:ff:ff:ff:ff:ff:ff, 因此IPv6 的網絡匹配是真正的'host'方式的匹配(nt | rt | rc:地址的8個部分都會用到,是否不屬於網絡的字節填寫0, 需接下來補充), 但同時須要一個網絡掩碼長度參數來具體指定前面多少字節爲網絡掩碼(nt: 可經過下面的net net/len 來指定)

src net net
若是數據包的源地址(IPv4或IPv6格式)的網絡號字段爲 net, 則與此對應的條件表達式爲真.

net net
若是數據包的源或目的地址(IPv4或IPv6格式)的網絡號字段爲 net, 則與此對應的條件表達式爲真.

net net mask netmask
若是數據包的源或目的地址(IPv4或IPv6格式)的網絡掩碼與netmask 匹配, 則與此對應的條件表達式爲真.此選項以前還能夠配合src和dst來匹配源網絡地址或目標網絡地址(nt: 好比 src net net mask 255.255.255.0).該選項對於ipv6 網絡地址無效.

net net/len
若是數據包的源或目的地址(IPv4或IPv6格式)的網絡編號字段的比特數與len相同, 則與此對應的條件表達式爲真.此選項以前還能夠配合src和dst來匹配源網絡地址或目標網絡地址(nt | rt | tt: src net net/24, 表示須要匹配源地址的網絡編號有24位的數據包).

dst port port
若是數據包(包括ip/tcp, ip/udp, ip6/tcp or ip6/udp協議)的目的端口爲port, 則與此對應的條件表達式爲真.port 能夠是一個數字也能夠是一個名字(相應名字能夠在/etc/services 中找到該名字, 也能夠經過man tcp 和man udp來獲得相關描述信息 ). 若是使用名字, 則該名字對應的端口號和相應使用的協議都會被檢查. 若是隻是使用一個數字端口號,則只有相應端口號被檢查(好比, dst port 513 將會使tcpdump抓取tcp協議的login 服務和udp協議的who 服務數據包, 而port domain 將會使tcpdump 抓取tcp協議的domain 服務數據包, 以及udp 協議的domain 數據包)(nt | rt: ambiguous name is used 不可理解, 需補充).

src port port
若是數據包的源端口爲port, 則與此對應的條件表達式爲真.

port port
若是數據包的源或目的端口爲port, 則與此對應的條件表達式爲真.

dst portrange port1-port2
若是數據包(包括ip/tcp, ip/udp, ip6/tcp or ip6/udp協議)的目的端口屬於port1到port2這個端口範圍(包括port1, port2), 則與此對應的條件表達式爲真. tcpdump 對port1 和port2 解析與對port 的解析一致(nt:在dst port port 選項的描述中有說明).

src portrange port1-port2
若是數據包的源端口屬於port1到port2這個端口範圍(包括 port1, port2), 則與此對應的條件表達式爲真.

portrange port1-port2
若是數據包的源端口或目的端口屬於port1到port2這個端口範圍(包括 port1, port2), 則與此對應的條件表達式爲真.

以上關於port 的選項均可以在其前面添加關鍵字:tcp 或者udp, 好比:
tcp src port port
這將使tcpdump 只抓取源端口是port 的tcp數據包.

less length
若是數據包的長度比length 小或等於length, 則與此對應的條件表達式爲真. 這與'len <= length' 的含義一致.

greater length
若是數據包的長度比length 大或等於length, 則與此對應的條件表達式爲真. 這與'len >= length' 的含義一致.

ip proto protocol
若是數據包爲ipv4數據包而且其協議類型爲protocol, 則與此對應的條件表達式爲真.
Protocol 能夠是一個數字也能夠是名字, 好比:icmp6, igmp, igrp(nt: Interior Gateway Routing Protocol,內部網關路由協議), pim(Protocol Independent Multicast, 獨立組播協議, 應用於組播路由器),ah, esp(nt: ah, 認證頭, esp 安全負載封裝, 這二者會用在IP包的安全傳輸機制中 ), vrrp(Virtual Router Redundancy Protocol, 虛擬路由器冗餘協議), udp, or tcp. 因爲tcp , udp 以及icmp是tcpdump 的關鍵字,因此在這些協議名字以前必需要用\來進行轉義(若是在C-shell 中須要用\\來進行轉義). 注意此表達元不會把數據包中協議頭鏈中全部協議頭內容所有打印出來(nt: 實際上只會打印指定協議的一些頭部信息, 好比能夠用tcpdump -i eth0 'ip proto \tcp and host 192.168.3.144', 則只打印主機192.168.3.144 發出或接收的數據包中tcp 協議頭所包含的信息)

ip6 proto protocol
若是數據包爲ipv6數據包而且其協議類型爲protocol, 則與此對應的條件表達式爲真.
注意此表達元不會把數據包中協議頭鏈中全部協議頭內容所有打印出來

ip6 protochain protocol
若是數據包爲ipv6數據包而且其協議鏈中包含類型爲protocol協議頭, 則與此對應的條件表達式爲真. 好比,
ip6 protochain 6

將匹配其協議頭鏈中擁有TCP 協議頭的IPv6數據包.此數據包的IPv6頭和TCP頭之間可能還會包含驗證頭, 路由頭, 或者逐跳尋徑選項頭.
由此所觸發的相應BPF(Berkeley Packets Filter, 可理解爲, 在數據鏈路層提供數據包過濾的一種機制)代碼比較繁瑣,
而且BPF優化代碼也未能照顧到此部分, 從而此選項所觸發的包匹配可能會比較慢.

ip protochain protocol
與ip6 protochain protocol 含義相同, 但這用在IPv4數據包.

ether broadcast
若是數據包是以太網廣播數據包, 則與此對應的條件表達式爲真. ether 關鍵字是可選的.

ip broadcast
若是數據包是IPv4廣播數據包, 則與此對應的條件表達式爲真. 這將使tcpdump 檢查廣播地址是否符合全0和全1的一些約定,並查找網絡接口的網絡掩碼(網絡接口爲當時在其上抓包的網絡接口).

若是抓包所在網絡接口的網絡掩碼不合法, 或者此接口根本就沒有設置相應網絡地址和網絡， 亦或是在linux下的'any'網絡接口上抓包(此'any'接口能夠收到系統中不止一個接口的數據包(nt: 實際上, 可理解爲系統中全部可用的接口)),網絡掩碼的檢查不能正常進行.


ether multicast
若是數據包是一個以太網多點廣播數據包(nt: 多點廣播, 可理解爲把消息同時傳遞給一組目的地址, 而不是網絡中全部地址,後者爲可稱爲廣播(broadcast)), 則與此對應的條件表達式爲真. 關鍵字ether 能夠省略. 此選項的含義與如下條件表達式含義一致:`ether[0] & 1 != 0'(nt: 可理解爲, 以太網數據包中第0個字節的最低位是1, 這意味這是一個多點廣播數據包).

ip multicast
若是數據包是ipv4多點廣播數據包, 則與此對應的條件表達式爲真.

ip6 multicast
若是數據包是ipv6多點廣播數據包, 則與此對應的條件表達式爲真.

ether proto protocol
若是數據包屬於如下以太協議類型, 則與此對應的條件表達式爲真.
協議(protocol)字段, 能夠是數字或如下所列出了名字: ip, ip6, arp, rarp, atalk(AppleTalk網絡協議),
aarp(nt: AppleTalk Address Resolution Protocol, AppleTalk網絡的地址解析協議),
decnet(nt: 一個由DEC公司所提供的網絡協議棧), sca(nt: 未知, 需補充),
lat(Local Area Transport, 區域傳輸協議, 由DEC公司開發的以太網主機互聯協議),
mopdl, moprc, iso(nt: 未知, 需補充), stp(Spanning tree protocol, 生成樹協議, 可用於防止網絡中產生連接循環),
ipx（nt: Internetwork Packet Exchange, Novell 網絡中使用的網絡層協議）, 或者
netbeui(nt: NetBIOS Extended User Interface，可理解爲, 網絡基本輸入輸出系統接口擴展).

protocol字段能夠是一個數字或如下協議名之一:ip, ip6, arp, rarp, atalk, aarp, decnet, sca, lat,
mopdl, moprc, iso, stp, ipx, 或者netbeui.
必需要注意的是標識符也是關鍵字, 從而必須經過'\'來進行轉義.

(SNAP：子網接入協議 （SubNetwork Access Protocol）)

在光纖分佈式數據網絡接口(其表達元形式能夠是'fddi protocol arp'), 令牌環網(其表達元形式能夠是'tr protocol arp'),
以及IEEE 802.11 無線局域網(其表達元形式能夠是'wlan protocol arp')中, protocol
標識符來自802.2 邏輯鏈路控制層頭,
在FDDI, Token Ring 或 802.1頭中會包含此邏輯鏈路控制層頭.

當以這些網絡上的相應的協議標識爲過濾條件時, tcpdump只是檢查LLC頭部中以0x000000爲組成單元標識符(OUI, 0x000000
標識一個內部以太網)的一段'SNAP格式結構'中的protocol ID 域, 而不會管包中是否有一段OUI爲0x000000的'SNAP格式
結構'(nt: SNAP, SubNetwork Access Protocol,子網接入協議 ). 如下例外:

iso tcpdump 會檢查LLC頭部中的DSAP域(Destination service Access Point, 目標服務接入點)和
SSAP域(源服務接入點).(nt: iso 協議未知, 需補充)

stp 以及 netbeui
 tcpdump 將會檢查LLC 頭部中的目標服務接入點(Destination service Access Point);

atalk
 tcpdump 將會檢查LLC 頭部中以0x080007 爲OUI標識的'SNAP格式結構', 並會檢查AppleTalk etype域.
 (nt: AppleTalk etype 是否位於SNAP格式結構中, 未知, 需補充).

此外, 在以太網中, 對於ether proto protocol 選項, tcpdump 會爲 protocol 所指定的協議檢查
 以太網類型域(the Ethernet type field), 但如下這些協議除外:

iso, stp, and netbeui
 tcpdump 將會檢查802.3 物理幀以及LLC 頭(這兩種檢查與FDDI, TR, 802.11網絡中的相應檢查一致);
 (nt: 802.3, 理解爲IEEE 802.3, 其爲一系列IEEE 標準的集合. 此集合定義了有線以太網絡中的物理層以及數據
 鏈路層的媒體接入控制子層. stp 在上文已有描述)

atalk
 tcpdump 將會檢查以太網物理幀中的AppleTalk etype 域 ,　同時也會檢查數據包中LLC頭部中的'SNAP格式結構'
 (這兩種檢查與FDDI, TR, 802.11網絡中的相應檢查一致)

aarp tcpdump 將會檢查AppleTalk ARP etype 域, 此域或存在於以太網物理幀中, 或存在於LLC(由802.2 所定義)的
'SNAP格式結構'中, 當爲後者時, 該'SNAP格式結構'的OUI標識爲0x000000;
 (nt: 802.2, 可理解爲, IEEE802.2, 其中定義了邏輯鏈路控制層(LLC), 該層對應於OSI 網絡模型中數據鏈路層的上層部分.
LLC 層爲使用數據鏈路層的用戶提供了一個統一的接口(一般用戶是網絡層). LLC層如下是媒體接入控制層(nt: MAC層,
對應於數據鏈路層的下層部分).該層的實現以及工做方式會根據不一樣物理傳輸媒介的不一樣而有所區別(好比, 以太網, 令牌環網,
光纖分佈數據接口(nt: 實際可理解爲一種光纖網絡), 無線局域網(802.11), 等等.)

ipx tcpdump 將會檢查物理以太幀中的IPX etype域, LLC頭中的IPX DSAP域，無LLC頭並對IPX進行了封裝的802.3幀,
以及LLC 頭部'SNAP格式結構'中的IPX etype 域(nt | rt: SNAP frame, 可理解爲, LLC 頭中的'SNAP格式結構'.
該含義屬初步理解階段, 需補充).

decnet src host
若是數據包中DECNET源地址爲host, 則與此對應的條件表達式爲真.
(nt:decnet, 由Digital Equipment Corporation 開發, 最先用於PDP-11 機器互聯的網絡協議)

decnet dst host
若是數據包中DECNET目的地址爲host, 則與此對應的條件表達式爲真.
(nt: decnet 在上文已有說明)

decnet host host
若是數據包中DECNET目的地址或DECNET源地址爲host, 則與此對應的條件表達式爲真.
(nt: decnet 在上文已有說明)

ifname interface
若是數據包已被標記爲從指定的網絡接口中接收的, 則與此對應的條件表達式爲真.
(此選項只適用於被OpenBSD中pf程序作過標記的包(nt: pf, packet filter, 可理解爲OpenBSD中的防火牆程序))

on interface
與 ifname interface 含義一致.

rnr num
若是數據包已被標記爲匹配PF的規則, 則與此對應的條件表達式爲真.
(此選項只適用於被OpenBSD中pf程序作過標記的包(nt: pf, packet filter, 可理解爲OpenBSD中的防火牆程序))

rulenum num
與 rulenum num 含義一致.

reason code
若是數據包已被標記爲包含PF的匹配結果代碼, 則與此對應的條件表達式爲真.有效的結果代碼有: match, bad-offset,
fragment, short, normalize, 以及memory.
(此選項只適用於被OpenBSD中pf程序作過標記的包(nt: pf, packet filter, 可理解爲OpenBSD中的防火牆程序))

rset name
若是數據包已被標記爲匹配指定的規則集, 則與此對應的條件表達式爲真.
(此選項只適用於被OpenBSD中pf程序作過標記的包(nt: pf, packet filter, 可理解爲OpenBSD中的防火牆程序))

ruleset name
與 rset name 含義一致.

srnr num
若是數據包已被標記爲匹配指定的規則集中的特定規則(nt: specified PF rule number, 特定規則編號, 即特定規則),
則與此對應的條件表達式爲真.(此選項只適用於被OpenBSD中pf程序作過標記的包(nt: pf, packet filter, 可理解爲
OpenBSD中的防火牆程序))

subrulenum num
與 srnr 含義一致.

action act
若是包被記錄時PF會執行act指定的動做, 則與此對應的條件表達式爲真. 有效的動做有: pass, block.
(此選項只適用於被OpenBSD中pf程序作過標記的包(nt: pf, packet filter, 可理解爲OpenBSD中的防火牆程序))

ip, ip6, arp, rarp, atalk, aarp, decnet, iso, stp, ipx, netbeui
與如下表達元含義一致:
ether proto p
 p是以上協議中的一個.

lat, moprc, mopdl
與如下表達元含義一致:
ether proto p
 p是以上協議中的一個. 必需要注意的是tcpdump目前還不能分析這些協議.

vlan [vlan_id]
若是數據包爲IEEE802.1Q VLAN 數據包, 則與此對應的條件表達式爲真.
(nt: IEEE802.1Q VLAN, 即IEEE802.1Q 虛擬網絡協議, 此協議用於不一樣網絡的之間的互聯).
若是[vlan_id] 被指定, 則只有數據包含有指定的虛擬網絡id(vlan_id), 則與此對應的條件表達式爲真.
要注意的是, 對於VLAN數據包, 在表達式中遇到的第一個vlan關鍵字會改變表達式中接下來關鍵字所對應數據包中數據的
開始位置(即解碼偏移). 在VLAN網絡體系中過濾數據包時, vlan [vlan_id]表達式能夠被屢次使用. 關鍵字vlan每出現一次都會增長
4字節過濾偏移(nt: 過濾偏移, 可理解爲上面的解碼偏移).

例如:
vlan 100 && vlan 200
表示: 過濾封裝在VLAN100中的VLAN200網絡上的數據包
再例如:
vlan && vlan 300 && ip
表示: 過濾封裝在VLAN300 網絡中的IPv4數據包, 而VLAN300網絡又被更外層的VLAN封裝


mpls [label_num]
若是數據包爲MPLS數據包, 則與此對應的條件表達式爲真.
(nt: MPLS, Multi-Protocol Label Switch, 多協議標籤交換, 一種在開放的通訊網上利用標籤引導數據傳輸的技術).

若是[label_num] 被指定, 則只有數據包含有指定的標籤id(label_num), 則與此對應的條件表達式爲真.
要注意的是, 對於內含MPLS信息的IP數據包(即MPLS數據包), 在表達式中遇到的第一個MPLS關鍵字會改變表達式中接下來關鍵字所對應數據包中數據的
開始位置(即解碼偏移). 在MPLS網絡體系中過濾數據包時, mpls [label_num]表達式能夠被屢次使用. 關鍵字mpls每出現一次都會增長
4字節過濾偏移(nt: 過濾偏移, 可理解爲上面的解碼偏移).

例如:
mpls 100000 && mpls 1024
表示: 過濾外層標籤爲100000 而層標籤爲1024的數據包

再如:
mpls && mpls 1024 && host 192.9.200.1
表示: 過濾發往或來自192.9.200.1的數據包, 該數據包的內層標籤爲1024, 且擁有一個外層標籤.

pppoed
若是數據包爲PPP-over-Ethernet的服務器探尋數據包(nt: Discovery packet,
其ethernet type 爲0x8863),則與此對應的條件表達式爲真.
(nt: PPP-over-Ethernet, 點對點以太網承載協議, 其點對點的鏈接創建分爲Discovery階段(地址發現) 和
PPPoE 會話創建階段 , discovery 數據包就是第一階段發出來的包. ethernet type
是以太幀裏的一個字段，用來指明應用於幀數據字段的協議)

pppoes
若是數據包爲PPP-over-Ethernet會話數據包(nt: ethernet type 爲0x8864, PPP-over-Ethernet在上文已有說明, 可搜索
關鍵字'PPP-over-Ethernet'找到其描述), 則與此對應的條件表達式爲真.

要注意的是, 對於PPP-over-Ethernet會話數據包, 在表達式中遇到的第一個pppoes關鍵字會改變表達式中接下來關鍵字所對應數據包中數據的
開始位置(即解碼偏移).

例如:
pppoes && ip
表示: 過濾嵌入在PPPoE數據包中的ipv4數據包

tcp, udp, icmp
與如下表達元含義一致:
ip proto p or ip6 proto p
其中p 是以上協議之一(含義分別爲: 若是數據包爲ipv4或ipv6數據包而且其協議類型爲 tcp,udp, 或icmp則與此對
應的條件表達式爲真)

iso proto protocol
若是數據包的協議類型爲iso-osi協議棧中protocol協議, 則與此對應的條件表達式爲真.(nt: [初解]iso-osi 網絡模型中每
層的具體協議與tcp/ip相應層採用的協議不一樣. iso-osi各層中的具體協議另需補充 )

protocol 能夠是一個數字編號, 或如下名字中之一:
clnp, esis, or isis.
(nt: clnp, Connectionless Network Protocol, 這是OSI網絡模型中網絡層協議 , esis, isis 未知, 需補充)

clnp, esis, isis
是如下表達的縮寫
iso proto p
其中p 是以上協議之一


l1, l2, iih, lsp, snp, csnp, psnp
爲IS-IS PDU 類型 的縮寫.
(nt: IS-IS PDU, Intermediate system to intermediate system Protocol Data Unit, 中間系統到
中間系統的協議數據單元. OSI(Open Systems Interconnection)網絡由終端系統, 中間系統構成.
終端系統指路由器, 而終端系統指用戶設備. 路由器造成的本地組稱之爲'區域'（Area）和多個區域組成一個'域'（Domain）.
IS-IS 提供域內或區域內的路由. l1, l2, iih, lsp, snp, csnp, psnp 表示PDU的類型, 具體含義另需補充)

vpi n
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 ,
若是數據包爲ATM數據包, 而且其虛擬路徑標識爲n, 則與此對應的條件表達式爲真.
(nt: ATM, Asychronous Transfer Mode, 實際上可理解爲由ITU-T(國際電信聯盟電信標準化部門)提出的一個與
TCP/IP中IP層功能等同的一系列協議, 具體協議層次另需補充)

vci n
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 ,
若是數據包爲ATM數據包, 而且其虛擬通道標識爲n, 則與此對應的條件表達式爲真.
(nt: ATM, 在上文已有描述)

lane
若是數據包爲ATM LANE 數據包, 則與此對應的條件表達式爲真. 要注意的是, 若是是模擬以太網的LANE數據包或者
LANE邏輯單元控制包, 表達式中第一個lane關鍵字會改變表達式中隨後條件的測試. 若是沒有
指定lane關鍵字, 條件測試將按照數據包中內含LLC(邏輯鏈路層)的ATM包來進行.

llc
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 ,
若是數據包爲ATM數據包,　而且內含LLC則與此對應的條件表達式爲真

oamf4s
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 , 若是數據包爲ATM數據包
而且是Segment OAM F4 信元(VPI=0 而且 VCI=3), 則與此對應的條件表達式爲真.

(nt: OAM, Operation Administration and Maintenance, 操做管理和維護,可理解爲:ATM網絡中用於網絡
管理所產生的ATM信元的分類方式.

ATM網絡中傳輸單位爲信元, 要傳輸的數據終究會被分割成固定長度(53字節)的信元,
(初理解: 一條物理線路可被複用, 造成虛擬路徑(virtual path). 而一條虛擬路徑再次被複用, 造成虛擬信道(virtual channel)).
通訊雙方的編址方式爲:虛擬路徑編號(VPI)/虛擬信道編號(VCI)).

OAM F4 flow 信元又可分爲segment 類和end-to-end 類, 其區別未知, 需補充.)

oamf4e
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 , 若是數據包爲ATM數據包
而且是 end-to-end OAM F4 信元(VPI=0 而且 VCI=4), 則與此對應的條件表達式爲真.
(nt: OAM 與 end-to-end OAM F4 在上文已有描述, 可搜索'oamf4s'來定位)

oamf4
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 , 若是數據包爲ATM數據包
而且是 end-to-end 或 segment OAM F4 信元(VPI=0 而且 VCI=3 或者 VCI=4), 則與此對應的條件表達式爲真.
(nt: OAM 與 end-to-end OAM F4 在上文已有描述, 可搜索'oamf4s'來定位)

oam
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 , 若是數據包爲ATM數據包
而且是 end-to-end 或 segment OAM F4 信元(VPI=0 而且 VCI=3 或者 VCI=4), 則與此對應的條件表達式爲真.
(nt: 此選項與oamf4重複, 需確認)

metac
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 , 若是數據包爲ATM數據包
而且是來自'元信令線路'(nt: VPI=0 而且 VCI=1, '元信令線路', meta signaling circuit, 具體含義未知, 需補充),
則與此對應的條件表達式爲真.

bcc
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 , 若是數據包爲ATM數據包
而且是來自'廣播信令線路'(nt: VPI=0 而且 VCI=2, '廣播信令線路', broadcast signaling circuit, 具體含義未知, 需補充),
則與此對應的條件表達式爲真.

sc
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 , 若是數據包爲ATM數據包
而且是來自'信令線路'(nt: VPI=0 而且 VCI=5, '信令線路', signaling circuit, 具體含義未知, 需補充),
則與此對應的條件表達式爲真.

ilmic
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 , 若是數據包爲ATM數據包
而且是來自'ILMI線路'(nt: VPI=0 而且 VCI=16, 'ILMI', Interim Local Management Interface , 可理解爲
基於SNMP(簡易網絡管理協議)的用於網絡管理的接口)
則與此對應的條件表達式爲真.

connectmsg

若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 , 若是數據包爲ATM數據包
而且是來自'信令線路'而且是Q.2931協議中規定的如下幾種消息: Setup, Calling Proceeding, Connect,
Connect Ack, Release, 或者Release Done. 則與此對應的條件表達式爲真.
(nt: Q.2931 爲ITU(國際電信聯盟)制定的信令協議. 其中規定了在寬帶綜合業務數字網絡的用戶接口層創建, 維護, 取消
網絡鏈接的相關步驟.)

metaconnect
若是數據包爲ATM數據包, 則與此對應的條件表達式爲真. 對於Solaris 操做系統上的SunATM設備 , 若是數據包爲ATM數據包
而且是來自'元信令線路'而且是Q.2931協議中規定的如下幾種消息: Setup, Calling Proceeding, Connect,
Connect Ack, Release, 或者Release Done. 則與此對應的條件表達式爲真.

expr relop expr
若是relop 兩側的操做數(expr)知足relop 指定的關係, 則與此對應的條件表達式爲真.
relop 能夠是如下關係操做符之一: >, <, <=, =, !=.
expr 是一個算術表達式. 此表達式中可以使用整型常量(表示方式與標準C中一致), 二進制操做符(+, -, *, /, &, |,
<<, >>), 長度操做符, 以及對特定數據包中數據的引用操做符. 要注意的是, 全部的比較操做都默認操做數是無符號的,
例如, 0x80000000 和 0xffffffff 都是大於0的(nt: 對於有符號的比較, 按照補碼規則, 0xffffffff
會小於0). 若是要引用數據包中的數據, 可採用如下表達方式:
proto [expr : size]

proto 的取值能夠是如下取值之一:ether, fddi, tr, wlan, ppp, slip, link, ip, arp, rarp,
tcp, udp, icmp, ip6 或者 radio. 這指明瞭該引用操做所對應的協議層.(ether, fddi, wlan,
tr, ppp, slip and link 對應於數據鏈路層, radio 對應於802.11(wlan,無線局域網)某些數據包中的附帶的
"radio"頭(nt: 其中描述了波特率, 數據加密等信息)).
要注意的是, tcp, udp 等上層協議目前只能應用於網絡層採用爲IPv4或IPv6協議的網絡(此限制會在tcpdump將來版本中
進行修改). 對於指定協議的所需數據, 其在包數據中的偏移字節由expr 來指定.

以上表達中size 是可選的, 用來指明咱們關注那部分數據段的長度(nt:一般這段數據
是數據包的一個域)， 其長度能夠是1, 2, 或4個字節. 若是不給定size, 默認是1個字節. 長度操做符的關鍵字爲len,
這代碼整個數據包的長度.

例如, 'ether[0] & 1 != 0' 將會使tcpdump 抓取全部多點廣播數據包.(nt: ether[0]字節的最低位爲1表示
數據包目的地址是多點廣播地址). 'ip[0] & 0xf != 5' 對應抓取全部帶有選項的
IPv4數據包. 'ip[6:2] & 0x1fff = 0'對應抓取沒被破碎的IPv4數據包或者
其片斷編號爲0的已破碎的IPv4數據包. 這種數據檢查方式也適用於tcp和udp數據的引用,
即, tcp[0]對應於TCP 頭中第一個字節, 而不是對應任何一箇中間的字節.

一些偏移以及域的取值除了能夠用數字也可用名字來表達. 如下爲可用的一些域(協議頭中的域)的名字: icmptype (指ICMP 協議頭
中type域), icmpcode (指ICMP 協議頭code 域), 以及tcpflags(指TCP協議頭的flags 域)

如下爲ICMP 協議頭中type 域的可用取值:
icmp-echoreply, icmp-unreach, icmp-sourcequench, icmp-redirect, icmp-echo, icmp-routeradvert,
icmp-routersolicit, icmp-timx-ceed, icmp-paramprob, icmp-tstamp, icmp-tstampreply,
icmp-ireq, icmp-ireqreply, icmp-maskreq, icmp-maskreply.

如下爲TCP 協議頭中flags 域的可用取值:tcp-fin, tcp-syn, tcp-rst, tcp-push,
tcp-ack, tcp-urg.

View Code