tcpdump的基本用法之过滤表达式

上篇博客写了tcpdump选项的用法， 这篇博客我们来看一下过滤表达式。

过滤表达式的man手册：man pcap-filter

tcpdump在使用过滤表达式时，如有用了shell的通配符，需要用单引号引起来。

情形1：只抓udp的包

#tcpdump -i eth0 -c 10 'udp'

情形2：只想查看源机器和目的机器的包

# tcpdump -i eth0 'dst 8.8.8.8'

tcpdump还支持使用and和or来进行搭配

如果没有设置，默认是src or dst，就是源机器是8.8.8.8或者目的机器是8.8.8.8都行。

情形3：只想查看目标机器端口是53或80的包

# tcpdump -i eth0 -c 3 'dst port 53 or dst port 80'

我们可以设置过滤类型，上面例子中我们使用了port这个类型，就是来指定端口。当然，tcpdump还支持如下的类型：
1 host：指定主机名或IP地址，例如’host roclinux.cn’或’host 202.112.18.34′
2 net ：指定网络段，例如’arp net 128.3’或’dst net 128.3′
3 portrange：指定端口区域，例如’src or dst portrange 6000-6008′

如果我们没有设置过滤类型，那么默认是host。

情形4：我想抓到那些通过eth0网卡的，且来源是roclinux.cn服务器或者目标是roclinux.cn服务器的网络包

tcpdump -i eth0 'host roclinux.cn'

情形5：我想抓通过eth0网卡的，且roclinux.cn和baidu.com之间通讯的网络包，或者，roclinux.cn和qiyi.com之间通讯的网络包

tcpdump -i eth0 'host roclinux.cn and (baidu.com or qiyi.com)'

情形6：我想获取使用ftp端口和ftp数据端口的网络包

tcpdump 'port ftp or ftp-data'

情形7：我想获取roclinux.cn和baidu.com之间建立TCP三次握手中第一个网络包，即带有SYN标记位的网络包，另外，目的主机不能是qiyi.com

tcpdump 'tcp[tcpflags] & tcp-syn != 0 and not dst host qiyi.com'

情形8：打印IP包长超过576字节的网络包

tcpdump 'ip[2:2] > 576'

情形9：打印广播包或多播包，同时数据链路层不是通过以太网媒介进行的

tcpdump 'ether[0] & 1 = 0 and ip[16] >= 224'

proto [ expr : size]，只要掌握了这个语法格式，相信大家就能看懂上面的三个稀奇古怪的表达式了。

proto就是protocol的缩写，表示这里要指定的是某种协议的名称，比如ip、tcp、ether。其实proto这个位置，总共可以指定的协议类型有15个之多，包括：

• ether – 链路层协议
• fddi – 链路层协议
• tr – 链路层协议
• wlan – 链路层协议
• ppp – 链路层协议
• slip – 链路层协议
• link – 链路层协议
• ip
• arp
• rarp
• tcp
• udp
• icmp
• ip6
• radio
• expr

用来指定数据报偏移量，表示从某个协议的数据报的第多少位开始提取内容，默认的起始位置是0；而size表示从偏移量的位置开始提取多少个字节，可以设置为1、2、4。
如果只设置了expr，而没有设置size，则默认提取1个字节。比如ip[2:2]，就表示提取出第3、4个字节；而ip[0]则表示提取ip协议头的第一个字节。
在我们提取了特定内容之后，我们就需要设置我们的过滤条件了，我们可用的“比较操作符”包括：>，<，>=，<=，=，!=，总共有6个。
好，掌握了上面内容之后，我可以很负责任的告诉你，你已经掌握了tcpdump过滤表达式的最重要语法了。我们先来小试牛刀，看一个例题：
    ip[0] & 0xf != 5
    IP协议的第0-4位，表示IP版本号，可以是IPv4（值为0100）或者IPv6（0110）；第5-8位表示首部长度，单位是“4字节”，如果首部长度为默认的20字节的话，此值应为5，       即”0101″。ip[0]则是取这两个域的合体。0xf中的0x表示十六进制，f是十六进制数，转换成8位的二进制数是“0000 1111”。而5是一个十进制数，它转换成8位二进制数为”0000     0101″。

    有了上面这些分析，大家应该可以很清楚的知道，这个语句中!=的左侧部分就是提取IP包首部长度域，如果首部长度不等于5，就满足过滤条件。言下之意也就是说，要求IP包的首部中含有可选字段。

    大家可能已经有所体会，在写过滤表达式时，你需要把协议格式完全背在脑子里，才能把表达式写对。可这对大多数人来说，可能有些困难。为了让tcpdump工具更人性化一些，有一些常用的偏移量，可以通过一些名称来代替，比如icmptype表示ICMP协议的类型域、icmpcode表示ICMP的code域，tcpflags则表示TCP协议的标志字段域。

    更进一步的，对于ICMP的类型域，可以用这些名称具体指代：icmp-echoreply, icmp-unreach, icmp-sourcequench, icmp-redirect, icmp-echo, icmp-routeradvert, icmp-routersolicit, icmp-timxceed, icmp-paramprob, icmp-tstamp, icmp-tstampreply, icmp-ireq, icmp-ireqreply, icmp-maskreq, icmp-maskreply。
而对于TCP协议的标志字段域，则可以细分为tcp-fin, tcp-syn, tcp-rst, tcp-push, tcp-ack, tcp-urg。
如果一个过滤表达式有多个过滤条件，那么就需要使用逻辑符了，其中，!或not都可以表示“否定”，&&与and都可以表示“与”，而||与or都可以表示“或”

参考：http://roclinux.cn/?p=2511

update：

抓取http包：

tcpdump -Xvvenn -i eth1 tcp[20:2]=0x4745 or tcp[20:2]=0x4854 -w tcpdump.cap 

0x4745 为"GET"前两个字母"GE"。
0x4854 为"HTTP"前两个字母"HT"。

tcp[20:2]表示tcp头部从第20字节开始提取两个字节。由于tcp头部一共20个字节，所以接下来的2个字节就是数据的前两个字节。

我们抓取“GET”和"HTTP“即可。数值是它们ASCII码的值。