WinPcap的过滤表达式语法
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
下面对WinPcap的过滤表达式语法进行一下简ຫໍສະໝຸດ 的介绍，其中关键字用黑体字表示。
1) 表达式支持逻辑操作符，可以使用关键字 and、or、not对子表达式进行组合，同时支持使用小括号。
2) 基于协议的过滤要使用协议限定符，协议限定符可以为ip、arp、rarp、tcp、udp等。
3) 基于MAC地址的过滤要使用限定符ether（代表以太网地址）、当该MAC地址仅作为源地址时表达式为ether src mac_addr，仅作为目的地址时，表达式为ether dst mac_addr，既作为源地址又作为目的地址时的表达式为ether host mac_addr。此外应注意mac_addr应该遵从00:E0:4C:E0:38:88的格式，否则编译过滤器时会出错。
4) 基于IP地址的过滤应该使用限定符host（代表主机地址）。当该IP地址仅作为源地址时过滤表达式应为 src host ip_addr，仅作为目的地址时的表达式为 dst host ip_addr，既作为源地址又作为目的地址时表达式为 host ip_addr。
5) 基于端口的过滤应使用限定符 port。例如仅接收80端口的数据包则表达式为port 80。
下边给出两个例子：
例1：只捕获arp或icmp数据包。
过滤表达式：arp or （ip and icmp）
例2：捕获主机192.168.1.23与192.168.1.28之间传递的所有UDP数据包。
过滤表达式：（ip and udp）and（ host 192.168.1.23 or host 192.168.1.28）
1) 表达式支持逻辑操作符，可以使用关键字 and、or、not对子表达式进行组合，同时支持使用小括号。
2) 基于协议的过滤要使用协议限定符，协议限定符可以为ip、arp、rarp、tcp、udp等。
3) 基于MAC地址的过滤要使用限定符ether（代表以太网地址）、当该MAC地址仅作为源地址时表达式为ether src mac_addr，仅作为目的地址时，表达式为ether dst mac_addr，既作为源地址又作为目的地址时的表达式为ether host mac_addr。此外应注意mac_addr应该遵从00:E0:4C:E0:38:88的格式，否则编译过滤器时会出错。
4) 基于IP地址的过滤应该使用限定符host（代表主机地址）。当该IP地址仅作为源地址时过滤表达式应为 src host ip_addr，仅作为目的地址时的表达式为 dst host ip_addr，既作为源地址又作为目的地址时表达式为 host ip_addr。
5) 基于端口的过滤应使用限定符 port。例如仅接收80端口的数据包则表达式为port 80。
下边给出两个例子：
例1：只捕获arp或icmp数据包。
过滤表达式：arp or （ip and icmp）
例2：捕获主机192.168.1.23与192.168.1.28之间传递的所有UDP数据包。
过滤表达式：（ip and udp）and（ host 192.168.1.23 or host 192.168.1.28）