win linux 规则,win环境及linux环境tcpdump常用抓包规则

win环境：

1. 协议过滤

比如过滤TCP，只显示TCP协议：

2. IP 过滤

过滤器输入栏输入ip == 172.18.30.30

或者如图所示 输入host 172.18.31.29

源地址过滤：

ip.src ==192.168.1.102

目标地址过滤：

ip.dst==192.168.1.102

3. 端口过滤

tcp.port ==80

tcp.srcport == 80 // 原端口为80的TCP协议

4. Http模式过滤

http.request.method=="GET",   只显示HTTP GET方法的。

5. 逻辑运算符为 AND/ OR

ip.src ==192.168.1.102 or ip.dst==192.168.1.102     源地址或者目标地址是192.168.1.102

tcpdump常用抓包规则

平时常用：tcpdump -s0 -i any tcp port 19380 -w 19380.pcap -v

-s 从每个分组中读取最开始的snaplen个字节，而不是默认的68个字节。

-i 指定监听的网络接口。

-w 直接将分组写入文件中，而不是不分析并打印出来。

-v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息。

1.过滤主机

- 抓取所有经过 eth1，目的或源地址是 192.168.1.1 的网络数据

# tcpdump -i eth1 host 192.168.1.1

- 源地址

# tcpdump -i eth1 src host 192.168.1.1

- 目的地址

# tcpdump -i eth1 dst host 192.168.1.1

2.过滤端口

- 抓取所有经过 eth1，目的或源端口是 25 的网络数据

# tcpdump -i eth1 port 25

- 源端口

# tcpdump -i eth1 src port 25

- 目的端口

# tcpdump -i eth1 dst port 25网络过滤

3.协议过滤

# tcpdump -i eth1 arp

# tcpdump -i eth1 ip

# tcpdump -i eth1 tcp

# tcpdump -i eth1 udp

# tcpdump -i eth1 icmp

更多