工具使用帮助文档

下面介绍过滤规则的原语,允许的原语有以下几种。
dst host host1
如果报文中 IP 的目的地址域是 host1,则逻辑为真。host1 既可以是地址,也可以是主机名。此过滤规则就是捕获所有目的地址是 host1 的网络数据包。
src net net1
如果报文的 IP 源地址属于网络号 net1,则逻辑为真。即捕获所有源地址属于网络 net1的网络数据包。
过滤规则由一个或多个原语组成。原语通常由一个标识(id, 名称或数字)和标识前面的一个或多个限定词组成。
过滤规则有三种类型的限定词,分别为 type、dir 和 proto。
(1)type
类型限定词,说明标识的类型,即名字的类型或数字的类型。大概有 host、net 和 port三种类型。例如 ’host foo’, ’net 128.3’, ’port 20’。如果不指定类型修饰字,就使用默认的 host。
decnet host host
如果 DECNET 的源地址或目的地址是 host,则逻辑为真。
ip, arp, rarp, decnet是 ether proto p 的简写形式,其中 p 为上述协议的一种。
tcp, udp, icmp是 ip proto p 的简写形式,其中 p 为上述协议的一种。
t
如果 DECNET 的源地址是 host,则逻辑为真,该主机地址的形式可能是’’10.123’’,或者是 DECNET 主机名。只有配置成运行 DECNET 的 Ultrix 系统支持 DECNET 主机名。
decnet dst host
如果 DECNET 的目的地址是 host,则逻辑为真。
如果报文是 IP 多目传送报文,则过滤规则逻辑为真。即捕获 ip 多目传送报文。
ether proto protocol
如果报文协议属于以太类型的 protocol,则逻辑为真。Protocol 可以是数字,也可以是名字,如 ip, arp 或 rarp。注意这些标识符也是关键字,所以必须用反斜杠(\)转义。如果是 FDDI(例如,’fddi protocol arp’),协议标识来自 802.2 逻辑链路控制(LLC)报头,它通常位于FDDI 报头的顶层。当根据协议标识过滤报文时,那么就假设所有的 FDDI 报文含有 LLC 报头,而且 LLC 报头用的是 SNAP 格式。
（１）本数据包过滤软件相比与Linux系统下的Tcpdump，它的命令很简单，但是首先需要在.pro文件中加入几条语句才能确保工程的正确编译．加入语句如下：
QT+=widgets
LIBS += -L/usr/local/lib -lpcap
QT += network
在拿到此工具时可以直接编译使用qmake,这可以在qt自带的终端输入窗口或者Linux下的终端都可以，因为我们必须获取最高权限才能捕包，这也是此系统的安全机制所在．然后输入make命令，会生成Makefile文件,接下来就可以直接使用了．可以自己在源码中修改捕获数据包的个数，通过在主界面中点击不同协议包的按钮去过滤不同的协议包，同时我增加了协议包的解析，并且全使用汉字表示，这也更加降低了读取的难度．
src port port1
如果报文的源端口号是 port1,则逻辑为真。即捕获所有源端口号是 port1 的网络数据包。
port port
如果报文的源端口或目的端口是 port,则逻辑为真,上述的任意一个端口表达式都可以用关键字 tcp 或 udp 做前缀,就如:
tcp src port port1
它只匹配源端口是 port1 的 TCP 报文。即捕获所有源端口号是 port1 的协议是 tcp 的网络数据包。
less length
如果报文的长度小于等于 length,则逻辑为真。即只捕获所有长度小于 length 的网络数据包。它等同于:
len <= length.
greater length
如果报文的长度大于等于 length,则逻辑为真。即只捕获所有长度大于 length 的网络数据包。它等同于:
len >= length.
ip proto protocol
如果报文是 IP 数据报,其内容的协议类型是 protocol,则逻辑为真。即只捕获网络协议类型是 protocol 的 ip 数据包。protocol 可以是数字,也可以是下列名称中的一个:icmp, igrp,
更复杂的过滤器表达式可以通过 and, or 和 not 连接原语来组建。例如,’host foo and notport ftp and not port ftp-data’。为了简便,可以忽略相同的限定词。例如,’tcp dst port ftp orftp-data or domain’ 实际上等价于 ’tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain’。
udp, nd 或 tcp。注意这些标识符 tcp, udp 和 icmp 也同样是关键字,所以必须用反斜杠(\)义,在 C-shell 中应该是\\。
ether broadcast
如果报文是以太广播报文,则逻辑为真。即捕获以太网广播数据包。关键字 ether 是可选的。
ip broadcast
如果报文是 IP 广播报文,则逻辑为真。检查全 0 和全 1 的广播约定,并且检查本地的子网掩码。
ether multicast
如果报文是以太多目传送报文(multicast),则过滤规则逻辑为真。关键字 ether 是可选的。这实际上是 ’ether[0] & 1 != 0’ 的简写。
ip multicast
(2)dir
方向限定词,说明相对于标识的传输方向,即数据是传入还是传出标识。可以使用的方
向有 src, dst, src or dst 和 src and dst。例如,’src foo’, ’dst net 128.3’, ’src or dst port ftp-data’。如果不指定方向限定词,就使用默认的 src or dst。对于’null’ 链路层(就是说像 slip 之类的点到点协议),用 inbound 和 outbound 限定词指定所需的传输方向。?38?
net net1
如果报文的 IP 源地址或目的地址属于网络号 net1,则过滤规则逻辑为真。即捕获所有源地址或者目的地址属于网络 net1 的网络数据包。
net net1 mask mask1
如果 IP 地址匹配指定网络掩码 mask1 的 net1,则逻辑为真。本原语可以用 src 或 dst 修饰。
（２）bpf 过滤规则
设置过滤规则就是让网络设备只是捕获我们感兴趣的网络数据包,如果没有设置过滤规则,即上面的 filter_app 是空字符串,那么网络设备就捕获所有类型的数据包,否则只是捕获过滤规则设置的数据包,此时过滤规则的逻辑值为真。此过滤规则是通用的,由著名的网络程序 tcpdump 推出,其他很多的网络程序都是基于此规则进行设计的。此过滤规则的内部解析机制上面介绍过,下面我们参考 tcpdump 的过滤规则形式着重介绍一下过滤规则的定义形式。
Linux 网络入侵检测系统
(3)proto
协议限定词。说明过滤规则指定的协议。可以使用的协议有: ether, fddi, ip, arp, rarp, decnet,lat, sca, moprc, mopdl, tcp 和 udp。例如,’ether src foo’, ’arp net 128.3’, ’tcp port 21’。如果不指定协议限定词,就使用所有符合类型的协议。例如,’src foo’ 指(ip 或 arp 或 rarp)src foo’ , ’netbar’ 指 ’ (ip 或 arp 或 rarp) net bar’, ’port 53’ 指(tcp 或 udp)port 53’。
net net1/len
如果 IP 地址匹配指定网络掩码的 net1,则逻辑为真,掩码的有效位宽为 len。本原语可以用 src 或 dst 修饰。
dst port port1
如果报文是 ip/tcp 或 ip/udp,并且目的端口是 port1,则逻辑为真。port1 是一个数字,也可以是/etc/services 中定义过的名字。如果使用名字,则检查端口号和协议。如果使用数字,或者有二义的名字,则只检查端口号。例如,dst port 513 将显示 tcp/login 的数据和 udp/who的数据,而 port domain 将显示 tcp/domain 和 udp/domain 的数据。