Dumpcap在Ubuntu上如何使用过滤器

dumpcap 是 Wireshark 套件中的一个命令行工具，用于捕获网络流量。在 Ubuntu 上使用 dumpcap 时，你可以结合使用过滤器来捕获特定的网络流量。以下是如何在 Ubuntu 上使用 dumpcap 和过滤器的步骤：

1. 安装 Wireshark： 如果你还没有安装 Wireshark，可以通过以下命令安装它，这将同时安装 dumpcap：

   sudo apt update
   sudo apt install wireshark
   

2. 运行 dumpcap： 你可以直接运行 dumpcap 来开始捕获流量。例如，要捕获所有接口上的流量，可以使用：

   sudo dumpcap
   

3. 使用过滤器： dumpcap 允许你在捕获时应用 BPF (Berkeley Packet Filter) 语法来指定过滤器。例如，如果你只想捕获 HTTP 流量，可以使用以下命令：

   sudo dumpcap -i any 'tcp port 80'
   

   这里 -i any 表示捕获所有接口上的流量，而 'tcp port 80' 是过滤器表达式，指定了只捕获目标或源端口为 80 的 TCP 流量。

4. 将输出保存到文件： 你可以将捕获的流量保存到文件中，以便稍后分析。使用 -w 选项指定输出文件：

   sudo dumpcap -i any -w output.pcap 'tcp port 80'
   

5. 读取捕获的文件： 使用 Wireshark 图形界面工具打开 .pcap 文件，或者在命令行中使用 tshark（Wireshark 的另一个命令行工具）来分析文件：

   tshark -r output.pcap
   

6. 高级过滤： 你可以使用更复杂的过滤器表达式来捕获特定的流量。例如，如果你想捕获特定 IP 地址之间的通信，可以使用：

   sudo dumpcap -i any 'ip.addr == 192.168.1.100'
   

   或者捕获两个特定 IP 地址之间的通信：

   sudo dumpcap -i any 'ip.src == 192.168.1.100 and ip.dst == 192.168.1.101'
   

请记住，使用 dumpcap 需要有足够的权限，通常需要 root 权限，因此大多数命令都需要在前面加上 sudo。

在使用过滤器时，请确保你的过滤器表达式是正确的，并且符合 BPF 语法。如果你不确定，可以先在 Wireshark 的图形界面中测试过滤器，然后再在 dumpcap 中使用相同的表达式。