ubuntu下dumpcap捕获规则 - 问答

在Ubuntu下使用dumpcap进行数据包捕获时，可以通过指定捕获规则来筛选和捕获特定的网络流量。以下是一些常用的捕获规则及其使用方法：

捕获所有流量
```
sudo dumpcap -i any
```
这将捕获所有接口上的所有流量。
捕获特定接口的流量
```
sudo dumpcap -i eth0
```
将eth0替换为你想要捕获流量的实际接口名称。
捕获特定IP地址的流量
```
sudo dumpcap -i any host 192.168.1.100
```
这将捕获与IP地址192.168.1.100相关的所有流量。
捕获特定端口的流量
```
sudo dumpcap -i any port 80
```
这将捕获所有通过端口80的流量。
捕获特定协议类型的流量
```
sudo dumpcap -i any proto tcp
```
这将捕获所有TCP协议的流量。

捕获特定源或目的MAC地址的流量
```
sudo dumpcap -i any ether src 00:11:22:33:44:55 or ether dst 00:11:22:33:44:55
```
这将捕获源或目的MAC地址为00:11:22:33:44:55的所有流量。
捕获特定源或目的IP地址和端口的流量
```
sudo dumpcap -i any host 192.168.1.100 and port 80
```
这将捕获与IP地址192.168.1.100相关且通过端口80的流量。
捕获特定协议和端口的流量
```
sudo dumpcap -i any proto tcp and port 80
```
这将捕获所有TCP协议且通过端口80的流量。
捕获特定协议、源IP地址和端口的流量
```
sudo dumpcap -i any proto tcp and host 192.168.1.100 and port 80
```
这将捕获与IP地址192.168.1.100相关且通过端口80的TCP流量。

你还可以使用更复杂的过滤器表达式来捕获特定的流量。例如：

捕获源IP地址为192.168.1.100且目的IP地址为192.168.1.200的TCP流量：
```
sudo dumpcap -i any host 192.168.1.100 and host 192.168.1.200 and proto tcp
```
捕获源端口为80且目的端口为443的TCP流量：
```
sudo dumpcap -i any tcp port 80 and tcp port 443
```

你可以将捕获的数据包保存到文件中，以便后续分析：

sudo dumpcap -i any -w capture.pcap

这将捕获所有接口上的所有流量并保存到capture.pcap文件中。

通过这些规则，你可以灵活地捕获和分析Ubuntu系统下的网络流量。

0 赞

0 踩