debian

Dumpcap在Debian中的过滤规则

小樊
57
2025-07-19 07:06:51
栏目: 智能运维

在 Debian 系统中,Dumpcap 是 Wireshark 的命令行版本,用于捕获、存储和分析网络流量。要在 Debian 系统上安装和使用 Dumpcap,请按照以下步骤操作:

安装 Dumpcap

首先,打开终端并输入以下命令来更新包列表:

sudo apt update

然后,输入以下命令来安装 Wireshark 和 Dumpcap:

sudo apt install wireshark dumpcap

使用 Dumpcap 抓包

dumpcap -i eth0 -w output.pcap

这将抓取 eth0 网卡的数据并写入 output.pcap 文件。

dumpcap -i eth0 udp -w udp_output.pcap
dumpcap -i eth0 tcp -w tcp_output.pcap
dumpcap -i eth0 port 80 -w http_output.pcap
dumpcap -i eth0 portrange 1024-49151 -w port_range_output.pcap
dumpcap -i eth0 -s 0 -w ip_output.pcap host 192.168.1.100
dumpcap -i eth0 -s 0 -w network_output.pcap net 192.168.1.0/24
dumpcap -i eth0 -w /tmp/trace-%m-%d-%H-%M-%S-%s -G 30 -W 10 -n

这将每 30 秒生成一个新的抓包文件,并保存到 /tmp 目录下。

dumpcap -i eth0 -w /tmp/udp.pcap -C 10 -W 5 -n

这将当文件大小达到 10MB 时生成一个新的抓包文件,并保存到 /tmp 目录下。

设置过滤规则

Dumpcap 支持使用 Berkeley Packet Filter (BPF) 语法来设置过滤规则。以下是一些基本的过滤规则示例:

dumpcap -i <interface> -Y "tcp" -w <output_file>
dumpcap -i <interface> -Y "ip.addr == 192.168.1.1" -w <output_file>
dumpcap -i <interface> -Y "tcp.port == 80" -w <output_file>
dumpcap -i <interface> -Y "ip.addr == 192.168.1.1 and tcp.port == 80" -w <output_file>

请注意,使用 Dumpcap 抓包可能需要 root 权限,因此在某些命令前需要添加 sudo。

以上就是在 Debian 系统上使用 Dumpcap 进行数据包捕获和过滤的基本步骤。根据具体需求,您可能需要结合使用多个选项和参数来配置捕获过程。要查看所有可用选项并获取详细帮助,请在终端中运行 dumpcap --help

0
看了该问题的人还看了