Linux tcpdump 命令詳解

對于FDDI網絡， ‘-e’ 使tcpdump打印出指定數據包的’frame control’ 域， 源和目的地址， 以及包的長度.(frame control域

控制對包中其他域的解析). 一般的包(比如那些IP datagrams)都是帶有’async’(異步標志)的數據包，并且有取值0到7的優先級;

比如 ‘async4′就代表此包為異步數據包，并且優先級別為4. 通常認為，這些包們會內含一個 LLC包(邏輯鏈路控制包); 這時，如果此包

不是一個ISO datagram或所謂的SNAP包，其LLC頭部將會被打印(nt:應該是指此包內含的 LLC包的包頭).

對于Token Ring網絡(令牌環網絡)， ‘-e’ 使tcpdump打印出指定數據包的’frame control’和’access control’域， 以及源和目的地址，

外加包的長度. 與FDDI網絡類似， 此數據包通常內含LLC數據包. 不管 是否有’-e’選項.對于此網絡上的’source-routed’類型數據包(nt:

意譯為:源地址被追蹤的數據包，具體含義未知，需補充)， 其包的源路由信息總會被打印.

類型分為ip， utcp以及ctcp(nt:未知， 需補充). 對于ip包，連接信息將不被打印(nt:SLIP連接上，ip包的連接信息可能無用或沒有定義.

reconfirm).對于TCP數據包， 連接標識緊接著類型表示被打印. 如果此包被壓縮， 其被編碼過的頭部將被打印.

此時對于特殊的壓縮包，會如下顯示:

*S+n 或者 *SA+n， 其中n代表包的(順序號或(順序號和應答號))增加或減少的數目(nt | rt:S，SA拗口， 需再譯).

對于非特殊的壓縮包，0個或更多的’改變’將會被打印.’改變’被打印時格式如下:

‘標志’+/-/=n 包數據的長度 壓縮的頭部長度.

其中’標志’可以取以下值:

U(代表緊急指針)， W(指緩沖窗口)， A(應答)， S(序列號)， I(包ID)，而增量表達’=n’表示被賦予新的值， +/-表示增加或減少.

第一行表示:rtsg發送了一個arp數據包(nt:向全網段發送，arp數據包）以詢問csam的以太網地址

Csam（nt:可從下文看出來， 是Csam）以她自己的以太網地址做了回應(在這個例子中， 以太網地址以大寫的名字標識， 而internet

地址(即ip地址)以全部的小寫名字標識).

</div>

TCP 數據包

(注意:以下將會假定你對 RFC-793所描述的TCP熟悉. 如果不熟， 以下描述以及tcpdump程序可能對你幫助不大.(nt:警告可忽略，只需繼續看， 不熟悉的地方可回頭再看.).

通常tcpdump對tcp數據包的顯示格式如下:src > dst: flags data-seqno ack window urgent options

src， dst 和 flags 這三個域總是會被顯示. 其他域的顯示與否依賴于tcp協議頭里的信息.

Csam 向rtsg 回復了基本相同的SYN數據包， 其區別只是多了一個’ piggy-backed ack’(nt:捎帶回的ack應答， 針對rtsg的SYN數據包).

抓取帶有特殊標志的的TCP包(如SYN-ACK標志， URG-ACK標志等).

一個TCP頭部，在不包含選項數據的情況下通常占用20個字節(nt | rt:options 理解為選項數據，需回譯). 第一行包含0到3編號的字節，第二行包含編號4-7的字節.

如果編號從0開始算， TCP控制標志位于13字節(nt:第四行左半部分).

讓我們仔細看看編號13的字節:

這里有我們感興趣的控制標志位. 從右往左這些位被依次編號為0到7， 從而 PSH位在3號， 而URG位在5號.

提醒一下自己， 我們只是要得到包含SYN標志的數據包. 讓我們看看在一個包的包頭中， 如果SYN位被設置， 到底在13號字節發生了什么:

在控制段的數據中， 只有比特1(bit number 1)被置位.

并且其10進制值為:

0*2^7 + 0*2^6 + 0*2^5 + 0*2^4 + 0*2^3 + 0*2^2 + 1*2^1 + 0*2^0 = 2(nt: 1 * 2^6 表示1乘以2的6次方， 也許這樣更清楚些， 即把原來表達中的指數7 6 … 0挪到了下面來表達)

接近目標了， 因為我們已經知道， 如果數據包頭部中的SYN被置位， 那么頭部中的第13個字節的值為2(nt: 按照網絡序， 即大頭方式， 最重要的字節在前面(在前面，即該字節實際內存地址比較小， 最重要的字節，指數學表示中數的高位， 如356中的3) ).

表達為tcpdump能理解的關系式就是:tcp[13] 2

從而我們可以把此關系式當作tcpdump的過濾條件， 目標就是監控只含有SYN標志的數據包:tcpdump -i xl0 tcp[13] 2 (nt: xl0 指網絡接口， 如eth0)

這個表達式是說”讓TCP數據包的第13個字節擁有值2吧”， 這也是我們想要的結果.

13號字節的1號和4號位被置位， 其二進制的值為:00010010

轉換成十進制就是:

0*2^7 + 0*2^6 + 0*2^5 + 1*2^4 + 0*2^3 + 0*2^2 + 1*2^1 + 0*2 = 18(nt: 1 * 2^6 表示1乘以2的6次方， 也許這樣更清楚些， 即把原來表達中的指數7 6 … 0挪到了下面來表達)

現在， 卻不能只用’tcp[13] 18′作為tcpdump的過濾表達式， 因為這將導致只選擇含有SYN-ACK標志的數據包， 其他的都被丟棄.提醒一下自己， 我們的目標是: 只要包的SYN標志被設置就行， 其他的標志我們不理會.

為了達到我們的目標， 我們需要把13號字節的二進制值與其他的一個數做AND操作(nt:邏輯與)來得到SYN比特位的值. 目標是:只要SYN 被設置就行， 于是我們就把她與上13號字節的SYN值(nt: 00000010).

我們可以發現， 不管包的ACK或其他標志是否被設置， 以上的AND操作都會給我們相同的值， 其10進制表達就是2(2進制表達就是00000010).從而我們知道， 對于帶有SYN標志的數據包， 以下的表達式的結果總是真(true):

( ( value of octet 13 ) AND ( 2 ) ) ( 2 ) (nt: value of octet 13， 即13號字節的值)

靈感隨之而來， 我們于是得到了如下的tcpdump 的過濾表達式tcpdump -i xl0 ‘tcp[13] & 2 2′

注意， 單引號或反斜桿(nt: 這里用的是單引號)不能省略， 這可以防止shell對&的解釋或替換.

UDP 數據包

UDP 數據包的顯示格式，可通過rwho這個具體應用所產生的數據包來說明:actinide.who > broadcast.who: udp 84

其含義為:actinide主機上的端口who向broadcast主機上的端口who發送了一個udp數據包(nt: actinide和broadcast都是指Internet地址).這個數據包承載的用戶數據為84個字節.

一些UDP服務可從數據包的源或目的端口來識別，也可從所顯示的更高層協議信息來識別. 比如， Domain Name service requests(DNS 請求，在RFC-1034/1035中)， 和Sun RPC calls to NFS(對NFS服務器所發起的遠程調用(nt: 即Sun RPC)，在RFC-1050中有對遠程調用的描述).

UDP 名稱服務請求

(注意:以下的描述假設你對Domain Service protoco(nt:在RFC-103中有所描述)， 否則你會發現以下描述就是天書(nt:希臘文天書，不必理會， 嚇嚇你的， 接著看就行))

UDP 名稱服務應答

要注意的是:名稱服務器的請求和應答數據量比較大， 而默認的68字節的抓取長度(nt: snaplen， 可理解為tcpdump的一個設置選項)可能不足以抓取數據包的全部內容. 如果你真的需要仔細查看名稱服務器的負載， 可以通過tcpdump 的-s 選項來擴大snaplen值.

SMB/CIFS 解碼

tcpdump默認只按照最簡約模式對相應數據包進行解碼， 如果我們想要詳盡的解碼信息可以使用其-v 啟動選現. 要注意的是， -v 會產生非常詳細的信息，比如對單一的一個SMB數據包， 將產生一屏幕或更多的信息， 所以此選項， 確有需要才使用.

關于SMB數據包格式的信息， 以及每個域的含義可以參看www.cifs.org 或者samba.org 鏡像站點的pub/samba/specs/ 目錄. linux 上的SMB 補丁(nt | rt: patch)由 Andrew Tridgell (tridge@samba.org)提供.

NFS 請求和回應

第二行中， wrl 做了’ok’的回應， 并且在results 字段中返回了sushi想要讀的符號連接的真實目錄(nt: 即sushi要求讀的符號連接其實是一個目錄).

第三行表明: sushi 再次請求 wrl 在’fh 9，74/4096.6878′所描述的目錄中查找’xcolors’文件. 需要注意的是， 每行所顯示的數據含義依賴于其中op字段的類型(nt: 不同op 所對應args 含義不相同)， 其格式遵循NFS 協議， 追求簡潔明了.

如果-v 標志被多次重復給出(nt: 如-vv)， tcpdump會顯示更加詳細的信息.

必須要注意的是， NFS 請求包中數據比較多， 如果tcpdump 的snaplen(nt: 抓取長度) 取太短將不能顯示其詳細信息. 可使用‘-s 192′來增加snaplen， 這可用以監測NFS應用的網絡負載(nt: traffic).

AFS 請求和回應

AFS(nt: Andrew 文件系統， Transarc ， 未知， 需補充)請求和回應有如下的答應

這種顯示格式的設計初衷為’一看就懂’， 但對于不熟悉AFS 和 RX 工作原理的人可能不是很有用(nt: 還是不用管， 書面嚇嚇你的， 往下看就行).

如果 -v 選項被重復了三次(nt: 如-vvv)， 那么AFS應用類型數據包的’安全索引’(‘security index’)以及’服務索引’(‘service id’)將會被打印.

AFS 請求數據量大， 參數也多， 所以要求tcpdump的 snaplen 比較大， 一般可通過啟動tcpdump時設置選項’-s 256′ 來增大snaplen， 以監測AFS 應用通信負載.

AFS 回應包并不顯示標識RPC 屬于何種遠程調用. 從而， tcpdump 會跟蹤最近一段時間內的請求包， 并通過call number(調用編號)， service ID(服務索引) 來匹配收到的回應包. 如果回應包不是針對最近一段時間內的請求包， tcpdump將無法解析該包.

KIP AppleTalk協議

AppleTalk DDP 數據包被封裝在UDP數據包中， 其解封裝(nt: 相當于解碼)和相應信息的轉儲也遵循DDP 包規則.(nt:encapsulate， 封裝， 相當于編碼， de-encapsulate， 解封裝， 相當于解碼， dump， 轉儲， 通常就是指對其信息進行打印).

/etc/atalk.names 文件中包含了AppleTalk 網絡和節點的數字標識到名稱的對應關系. 其文件格式通常如下所示:number name

AppleTalk 完整網絡地址將以如下格式顯示:net.host.port

(如果/etc/atalk.names 文件不存在， 或者沒有相應AppleTalk 主機/網絡的條目， 數據包的網絡地址將以數字形式顯示).

tcpdump 可解析NBP (名稱綁定協議) and ATP (AppleTalk傳輸協議)數據包， 對于其他應用層的協議， 只會打印出相應協議名字(如果此協議沒有注冊一個通用名字， 只會打印其協議號)以及數據包的大小.

第一行表示: 網絡icsd-net 中的節點112 通過220端口向網絡jssmag 中所有節點的端口2發送了對’LaserWriter’的名稱查詢請求(nt:此處名稱可理解為一個資源的名稱， 比如打印機). 此查詢請求的序列號為190.

第二行表示: 網絡jssmag 中的節點209 通過2端口向icsd-net.112節點的端口220進行了回應: 我有’LaserWriter’資源， 其資源名稱為’RM1140′， 并且在端口250上提供改資源的服務. 此回應的序列號為190， 對應之前查詢的序列號.

第三行也是對第一行請求的回應: 節點techpit 通過2端口向icsd-net.112節點的端口220進行了回應:我有’LaserWriter’資源， 其資源名稱為’techpit’， 并且在端口186上提供改資源的服務. 此回應的序列號為190， 對應之前查詢的序列號.

接下來的第9行表示， Jssmag.209 又向helios 提出了請求: 順序號為3以及5的數據包請重新傳送. Helios 收到這個請求后重新發送了這個兩個數據包， jssmag.209 再次收到這兩個數據包之后， 主動結束(release)了此會話.

IP 數據包破碎

(nt: 指把一個IP數據包分成多個IP數據包)

一個數據包(nt | rt: 指IP數據包)如果帶有非IP破碎標志， 則顯示時會在最后顯示’(DF)’.(nt: 意味著此IP包沒有被破碎過).

時間戳

命令使用

tcpdump采用命令行方式，它的命令格式為：

tcpdump [ -AdDeflLnNOpqRStuUvxX ] [ -c count ]           [ -C file_size ] [ -F file ]           [ -i interface ] [ -m module ] [ -M secret ]           [ -r file ] [ -s snaplen ] [ -T type ] [ -w file ]           [ -W filecount ]           [ -E spi@ipaddr algo:secret，...  ]           [ -y datalinktype ] [ -Z user ]           [ expression ]

tcpdump的簡單選項介紹

-A  以ASCII碼方式顯示每一個數據包(不會顯示數據包中鏈路層頭部信息). 在抓取包含網頁數據的數據包時， 可方便查看數據(nt: 即Handy for capturing web pages).-c  count    tcpdump將在接受到count個數據包后退出.-C  file-size (nt: 此選項用于配合-w file 選項使用)    該選項使得tcpdump 在把原始數據包直接保存到文件中之前， 檢查此文件大小是否超過file-size. 如果超過了， 將關閉此文件，另創一個文件繼續用于原始數據包的記錄. 新創建的文件名與-w 選項指定的文件名一致， 但文件名后多了一個數字.該數字會從1開始隨著新創建文件的增多而增加. file-size的單位是百萬字節(nt: 這里指1，000，000個字節，并非1，048，576個字節， 后者是以1024字節為1k， 1024k字節為1M計算所得， 即1M=1024 ＊ 1024 ＝ 1，048，576)-d  以容易閱讀的形式，在標準輸出上打印出編排過的包匹配碼， 隨后tcpdump停止.(nt | rt: human readable， 容易閱讀的，通常是指以ascii碼來打印一些信息. compiled， 編排過的. packet-matching code， 包匹配碼，含義未知， 需補充)-dd 以C語言的形式打印出包匹配碼.-ddd 以十進制數的形式打印出包匹配碼(會在包匹配碼之前有一個附加的'count'前綴).-D  打印系統中所有tcpdump可以在其上進行抓包的網絡接口. 每一個接口會打印出數字編號， 相應的接口名字， 以及可能的一個網絡接口描述. 其中網絡接口名字和數字編號可以用在tcpdump 的-i flag 選項(nt: 把名字或數字代替flag)， 來指定要在其上抓包的網絡接口.    此選項在不支持接口列表命令的系統上很有用(nt: 比如， Windows 系統， 或缺乏 ifconfig -a 的UNIX系統); 接口的數字編號在windows 2000 或其后的系統中很有用， 因為這些系統上的接口名字比較復雜， 而不易使用.    如果tcpdump編譯時所依賴的libpcap庫太老，-D 選項不會被支持， 因為其中缺乏 pcap_findalldevs()函數.-e  每行的打印輸出中將包括數據包的數據鏈路層頭部信息-E  spi@ipaddr algo:secret，...    可通過spi@ipaddr algo:secret 來解密IPsec ESP包(nt | rt:IPsec Encapsulating Security Payload，IPsec 封裝安全負載， IPsec可理解為， 一整套對ip數據包的加密協議， ESP 為整個IP 數據包或其中上層協議部分被加密后的數據，前者的工作模式稱為隧道模式; 后者的工作模式稱為傳輸模式 . 工作原理， 另需補充).    需要注意的是， 在終端啟動tcpdump 時， 可以為IPv4 ESP packets 設置密鑰(secret）.    可用于加密的算法包括des-cbc， 3des-cbc， blowfish-cbc， rc3-cbc， cast128-cbc， 或者沒有(none).默認的是des-cbc(nt: des， Data Encryption Standard， 數據加密標準， 加密算法未知， 另需補充).secret 為用于ESP 的密鑰， 使用ASCII 字符串方式表達. 如果以 0x 開頭， 該密鑰將以16進制方式讀入.    該選項中ESP 的定義遵循RFC2406， 而不是 RFC1827. 并且， 此選項只是用來調試的， 不推薦以真實密鑰(secret)來使用該選項， 因為這樣不安全: 在命令行中輸入的secret 可以被其他人通過ps 等命令查看到.    除了以上的語法格式(nt: 指spi@ipaddr algo:secret)， 還可以在后面添加一個語法輸入文件名字供tcpdump 使用(nt：即把spi@ipaddr algo:secret，... 中...換成一個語法文件名). 此文件在接受到第一個ESP　包時會打開此文件， 所以最好此時把賦予tcpdump 的一些特權取消(nt: 可理解為， 這樣防范之后， 當該文件為惡意編寫時，不至于造成過大損害).-f  顯示外部的IPv4 地址時(nt: foreign IPv4 addresses， 可理解為， 非本機ip地址)， 采用數字方式而不是名字.(此選項是用來對付Sun公司的NIS服務器的缺陷(nt: NIS， 網絡信息服務， tcpdump 顯示外部地址的名字時會用到她提供的名稱服務): 此NIS服務器在查詢非本地地址名字時，常常會陷入無盡的查詢循環).    由于對外部(foreign)IPv4地址的測試需要用到本地網絡接口(nt: tcpdump 抓包時用到的接口)及其IPv4 地址和網絡掩碼. 如果此地址或網絡掩碼不可用， 或者此接口根本就沒有設置相應網絡地址和網絡掩碼(nt: linux 下的 'any' 網絡接口就不需要設置地址和掩碼， 不過此'any'接口可以收到系統中所有接口的數據包)， 該選項不能正常工作.-F  file    使用file 文件作為過濾條件表達式的輸入， 此時命令行上的輸入將被忽略.-i  interface    指定tcpdump 需要監聽的接口.  如果沒有指定， tcpdump 會從系統接口列表中搜尋編號最小的已配置好的接口(不包括 loopback 接口).一但找到第一個符合條件的接口， 搜尋馬上結束.    在采用2.2版本或之后版本內核的Linux 操作系統上， 'any' 這個虛擬網絡接口可被用來接收所有網絡接口上的數據包(nt: 這會包括目的是該網絡接口的， 也包括目的不是該網絡接口的). 需要注意的是如果真實網絡接口不能工作在'混雜'模式(promiscuous)下，則無法在'any'這個虛擬的網絡接口上抓取其數據包.    如果 -D 標志被指定， tcpdump會打印系統中的接口編號，而該編號就可用于此處的interface 參數.-l  對標準輸出進行行緩沖(nt: 使標準輸出設備遇到一個換行符就馬上把這行的內容打印出來).在需要同時觀察抓包打印以及保存抓包記錄的時候很有用. 比如， 可通過以下命令組合來達到此目的:    ``tcpdump  -l  |  tee dat'' 或者 ``tcpdump  -l   > dat

tcpdump條件表達式

該表達式用于決定哪些數據包將被打印. 如果不給定條件表達式， 網絡上所有被捕獲的包都會被打印，否則， 只有滿足條件表達式的數據包被打印.(nt: all packets， 可理解為， 所有被指定接口捕獲的數據包).

表達式由一個或多個’表達元’組成(nt: primitive， 表達元， 可理解為組成表達式的基本元素). 一個表達元通常由一個或多個修飾符(qualifiers)后跟一個名字或數字表示的id組成(nt: 即， ‘qualifiers id’).有三種不同類型的修飾符:type， dir以及 proto.

type 修飾符指定id 所代表的對象類型， id可以是名字也可以是數字. 可選的對象類型有: host， net， port 以及portrange(nt: host 表明id表示主機， net 表明id是網絡， port 表明id是端而portrange 表明id 是一個端口范圍).  如， 'host foo'， 'net 128.3'， 'port 20'， 'portrange 6000-6008'(nt: 分別表示主機 foo，網絡 128.3， 端口 20， 端口范圍 6000-6008). 如果不指定type 修飾符， id默認的修飾符為host.dir 修飾符描述id 所對應的傳輸方向， 即發往id 還是從id 接收（nt: 而id 到底指什么需要看其前面的type 修飾符）.可取的方向為: src， dst， src 或 dst， src并且dst.(nt:分別表示， id是傳輸源， id是傳輸目的， id是傳輸源或者傳輸目的， id是傳輸源并且是傳輸目的). 例如， 'src foo'，'dst net 128.3'， 'src or dst port ftp-data'.(nt: 分別表示符合條件的數據包中， 源主機是foo， 目的網絡是128.3， 源或目的端口為 ftp-data).如果不指定dir修飾符， id 默認的修飾符為src 或 dst.對于鏈路層的協議，比如SLIP(nt: Serial Line InternetProtocol， 串聯線路網際網絡協議)， 以及linux下指定'any' 設備， 并指定'cooked'(nt | rt: cooked 含義未知， 需補充) 抓取類型， 或其他設備類型，可以用'inbound' 和 'outbount' 修飾符來指定想要的傳輸方向.proto 修飾符描述id 所屬的協議. 可選的協議有: ether， fddi， tr， wlan， ip， ip6， arp， rarp， decnet， tcp以及 upd.(nt | rt: ether， fddi， tr， 具體含義未知， 需補充. 可理解為物理以太網傳輸協議， 光纖分布數據網傳輸協議，以及用于路由跟蹤的協議.  wlan， 無線局域網協議; ip，ip6 即通常的TCP/IP協議棧中所使用的ipv4以及ipv6網絡層協議;arp， rarp 即地址解析協議，反向地址解析協議; decnet， Digital Equipment Corporation開發的， 最早用于PDP-11 機器互聯的網絡協議; tcp and udp， 即通常TCP/IP協議棧中的兩個傳輸層協議).    例如， `ether src foo'， `arp net 128.3'， `tcp port 21'， `udp portrange 7000-7009'分別表示 '從以太網地址foo 來的數據包'，'發往或來自128.3網絡的arp協議數據包'， '發送或接收端口為21的tcp協議數據包'， '發送或接收端口范圍為7000-7009的udp協議數據包'.    如果不指定proto 修飾符， 則默認為與相應type匹配的修飾符. 例如， 'src foo' 含義是 '(ip or arp or rarp) src foo' (nt: 即， 來自主機foo的ip/arp/rarp協議數據包， 默認type為host)，`net bar' 含義是`(ip  or  arp  or rarp) net bar'(nt: 即， 來自或發往bar網絡的ip/arp/rarp協議數據包)，`port 53' 含義是 `(tcp or udp) port 53'(nt: 即， 發送或接收端口為53的tcp/udp協議數據包).(nt: 由于tcpdump 直接通過數據鏈路層的 BSD 數據包過濾器或 DLPI(datalink provider interface， 數據鏈層提供者接口)來直接獲得網絡數據包， 其可抓取的數據包可涵蓋上層的各種協議， 包括arp， rarp， icmp(因特網控制報文協議)，ip， ip6， tcp， udp， sctp(流控制傳輸協議).    對于修飾符后跟id 的格式，可理解為， type id 是對包最基本的過濾條件: 即對包相關的主機， 網絡， 端口的限制;dir 表示對包的傳送方向的限制; proto表示對包相關的協議限制)    'fddi'(nt: Fiber Distributed Data Interface) 實際上與'ether' 含義一樣: tcpdump 會把他們當作一種''指定網絡接口上的數據鏈路層協議''. 如同ehter網(以太網)， FDDI 的頭部通常也會有源， 目的， 以及包類型， 從而可以像ether網數據包一樣對這些域進行過濾. 此外， FDDI 頭部還有其他的域， 但不能被放到表達式中用來過濾    同樣， 'tr' 和 'wlan' 也和 'ether' 含義一致， 上一段對fddi 的描述同樣適用于tr(Token Ring) 和wlan(802.11 wireless LAN)的頭部. 對于802.11 協議數據包的頭部， 目的域稱為DA， 源域稱為 SA;而其中的 BSSID， RA， TA 域(nt | rt: 具體含義需補充)不會被檢測(nt: 不能被用于包過慮表達式中).

除以上所描述的表達元(‘primitive’)， 還有其他形式的表達元， 并且與上述表達元格式不同. 比如: gateway， broadcast， less， greater以及算術表達式(nt: 其中每一個都算一種新的表達元). 下面將會對這些表達元進行說明.

表達元之間還可以通過關鍵字and， or 以及 not 進行連接， 從而可組成比較復雜的條件表達式. 比如，`host foo and not port ftp and not port ftp-data’(nt: 其過濾條件可理解為， 數據包的主機為foo，并且端口不是ftp(端口21) 和ftp-data(端口20， 常用端口和名字的對應可在linux 系統中的/etc/service 文件中找到)).

為了表示方便， 同樣的修飾符可以被省略， 如’tcp dst port ftp or ftp-data or domain’ 與以下的表達式含義相同’tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain’.(nt: 其過濾條件可理解為，包的協議為tcp， 目的端口為ftp 或 ftp-data 或 domain(端口53) ).

借助括號以及相應操作符，可把表達元組合在一起使用(由于括號是shell的特殊字符， 所以在shell腳本或終端中使用時必須對括號進行轉義， 即’(‘ 與’)'需要分別表達成’(‘ 與 ‘)’).

有效的操作符有:

否定操作 (`!' 或 `not') 與操作(`

否定操作符的優先級別最高. 與操作和或操作優先級別相同， 并且二者的結合順序是從左到右. 要注意的是， 表達’與操作’時，

需要顯式寫出’and’操作符， 而不只是把前后表達元并列放置(nt: 二者中間的’and’ 操作符不可省略).

整個條件表達式可以被當作一個單獨的字符串參數也可以被當作空格分割的多個參數傳入tcpdump， 后者更方便些. 通常， 如果表達式中包含元字符(nt: 如正則表達式中的’*'， ‘.’以及shell中的’(‘等字符)， 最好還是使用單獨字符串的方式傳入. 這時，整個表達式需要被單引號括起來. 多參數的傳入方式中， 所有參數最終還是被空格串聯在一起， 作為一個字符串被解析.

附錄:tcpdump的表達元

(nt: True 在以下的描述中含義為: 相應條件表達式中只含有以下所列的一個特定表達元， 此時表達式為真， 即條件得到滿足)

如果host 是一個擁有多個IP 的主機， 那么任何一個地址都會用于包的匹配(nt: 即發向host 的數據包的目的地址可以是這幾個IP中的任何一個， 從host 接收的數據包的源地址也可以是這幾個IP中的任何一個).

ether dst ehost如果數據包(nt: 指tcpdump 可抓取的數據包， 包括ip 數據包， tcp數據包)的以太網目標地址是ehost，則與此對應的條件表達式為真. Ehost 可以是/etc/ethers 文件中的名字或一個數字地址(nt: 可通過 man ethers 看到對/etc/ethers 文件的描述， 樣例中用的是數字地址)

ether src ehost如果數據包的以太網源地址是ehost， 則與此對應的條件表達式為真.

ether host ehost如果數據包的以太網源地址或目標地址是ehost， 則與此對應的條件表達式為真.

一個數字IPv4 網絡編號將以點分四元組(比如， 192.168.1.0)， 或點分三元組(比如， 192.168.1 )， 或點分二元組(比如， 172.16)， 或單一單元組(比如， 10)來表達;

對應于這四種情況的網絡掩碼分別是:四元組:255.255.255.255(這也意味著對net 的匹配如同對主機地址(host)的匹配:地址的四個部分都用到了)，三元組:255.255.255.0， 二元組: 255.255.0.0， 一元組:255.0.0.0.

對于IPv6 的地址格式， 網絡編號必須全部寫出來(8個部分必須全部寫出來); 相應網絡掩碼為:ff:ff:ff:ff:ff:ff:ff:ff， 所以IPv6 的網絡匹配是真正的’host’方式的匹配(nt | rt | rc:地址的8個部分都會用到，是否不屬于網絡的字節填寫0， 需接下來補充)， 但同時需要一個網絡掩碼長度參數來具體指定前面多少字節為網絡掩碼(nt: 可通過下面的net net/len 來指定)

src net net如果數據包的源地址(IPv4或IPv6格式)的網絡號字段為 net， 則與此對應的條件表達式為真.

net net如果數據包的源或目的地址(IPv4或IPv6格式)的網絡號字段為 net， 則與此對應的條件表達式為真.

net net mask netmask如果數據包的源或目的地址(IPv4或IPv6格式)的網絡掩碼與netmask 匹配， 則與此對應的條件表達式為真.此選項之前還可以配合src和dst來匹配源網絡地址或目標網絡地址(nt: 比如 src net net mask 255.255.255.0).該選項對于ipv6 網絡地址無效.

net net/len如果數據包的源或目的地址(IPv4或IPv6格式)的網絡編號字段的比特數與len相同， 則與此對應的條件表達式為真.此選項之前還可以配合src和dst來匹配源網絡地址或目標網絡地址(nt | rt | tt: src net net/24， 表示需要匹配源地址的網絡編號有24位的數據包).

dst port port如果數據包(包括ip/tcp， ip/udp， ip6/tcp or ip6/udp協議)的目的端口為port， 則與此對應的條件表達式為真.port 可以是一個數字也可以是一個名字(相應名字可以在/etc/services 中找到該名字， 也可以通過man tcp 和man udp來得到相關描述信息 ). 如果使用名字， 則該名字對應的端口號和相應使用的協議都會被檢查. 如果只是使用一個數字端口號，則只有相應端口號被檢查(比如， dst port 513 將會使tcpdump抓取tcp協議的login 服務和udp協議的who 服務數據包， 而port domain 將會使tcpdump 抓取tcp協議的domain 服務數據包， 以及udp 協議的domain 數據包)(nt | rt: ambiguous name is used 不可理解， 需補充).

src port port如果數據包的源端口為port， 則與此對應的條件表達式為真.

port port如果數據包的源或目的端口為port， 則與此對應的條件表達式為真.

dst portrange port1-port2如果數據包(包括ip/tcp， ip/udp， ip6/tcp or ip6/udp協議)的目的端口屬于port1到port2這個端口范圍(包括port1， port2)， 則與此對應的條件表達式為真. tcpdump 對port1 和port2 解析與對port 的解析一致(nt:在dst port port 選項的描述中有說明).

src portrange port1-port2如果數據包的源端口屬于port1到port2這個端口范圍(包括 port1， port2)， 則與此對應的條件表達式為真.

portrange port1-port2如果數據包的源端口或目的端口屬于port1到port2這個端口范圍(包括 port1， port2)， 則與此對應的條件表達式為真.

less length如果數據包的長度比length 小或等于length， 則與此對應的條件表達式為真. 這與’len ‘ 的含義一致.

greater length如果數據包的長度比length 大或等于length， 則與此對應的條件表達式為真. 這與’len >= length’ 的含義一致.

將匹配其協議頭鏈中擁有TCP 協議頭的IPv6數據包.此數據包的IPv6頭和TCP頭之間可能還會包含驗證頭， 路由頭， 或者逐跳尋徑選項頭.由此所觸發的相應BPF(Berkeley Packets Filter， 可理解為， 在數據鏈路層提供數據包過濾的一種機制)代碼比較繁瑣，并且BPF優化代碼也未能照顧到此部分， 從而此選項所觸發的包匹配可能會比較慢.

ip protochain protocol與ip6 protochain protocol 含義相同， 但這用在IPv4數據包.

ether broadcast如果數據包是以太網廣播數據包， 則與此對應的條件表達式為真. ether 關鍵字是可選的.

ip broadcast如果數據包是IPv4廣播數據包， 則與此對應的條件表達式為真. 這將使tcpdump 檢查廣播地址是否符合全0和全1的一些約定，并查找網絡接口的網絡掩碼(網絡接口為當時在其上抓包的網絡接口).

如果抓包所在網絡接口的網絡掩碼不合法， 或者此接口根本就沒有設置相應網絡地址和網絡， 亦或是在linux下的’any’網絡接口上抓包(此’any’接口可以收到系統中不止一個接口的數據包(nt: 實際上， 可理解為系統中所有可用的接口))，網絡掩碼的檢查不能正常進行.

ether multicast如果數據包是一個以太網多點廣播數據包(nt: 多點廣播， 可理解為把消息同時傳遞給一組目的地址， 而不是網絡中所有地址，后者為可稱為廣播(broadcast))， 則與此對應的條件表達式為真. 關鍵字ether 可以省略. 此選項的含義與以下條件表達式含義一致:`ether[0] & 1 != 0′(nt: 可理解為， 以太網數據包中第0個字節的最低位是1， 這意味這是一個多點廣播數據包).

ip multicast如果數據包是ipv4多點廣播數據包， 則與此對應的條件表達式為真.

ip6 multicast如果數據包是ipv6多點廣播數據包， 則與此對應的條件表達式為真.

protocol字段可以是一個數字或以下協議名之一:ip， ip6， arp， rarp， atalk， aarp， decnet， sca， lat，mopdl， moprc， iso， stp， ipx， 或者netbeui. 必須要注意的是標識符也是關鍵字， 從而必須通過”來進行轉義.

(SNAP：子網接入協議 （SubNetwork Access Protocol）)

在光纖分布式數據網絡接口(其表達元形式可以是’fddi protocol arp’)， 令牌環網(其表達元形式可以是’tr protocol arp’)，以及IEEE 802.11 無線局域網(其表達元形式可以是’wlan protocol arp’)中， protocol 標識符來自802.2 邏輯鏈路控制層頭，在FDDI， Token Ring 或 802.1頭中會包含此邏輯鏈路控制層頭.

iso tcpdump 會檢查LLC頭部中的DSAP域(Destination service Access Point， 目標服務接入點)和SSAP域(源服務接入點).(nt: iso 協議未知， 需補充)

stp 以及 netbeuitcpdump 將會檢查LLC 頭部中的目標服務接入點(Destination service Access Point);

此外， 在以太網中， 對于ether proto protocol 選項， tcpdump 會為 protocol 所指定的協議檢查以太網類型域(the Ethernet type field)， 但以下這些協議除外:

ipx tcpdump 將會檢查物理以太幀中的IPX etype域， LLC頭中的IPX DSAP域，無LLC頭并對IPX進行了封裝的802.3幀，以及LLC 頭部’SNAP格式結構’中的IPX etype 域 (nt | rt: SNAP frame， 可理解為， LLC 頭中的’SNAP格式結構’.該含義屬初步理解階段， 需補充).

on interface與 ifname interface 含義一致.

rulenum num與 rulenum num 含義一致.

ruleset name與 rset name 含義一致.

srnr num如果數據包已被標記為匹配指定的規則集中的特定規則(nt: specified PF rule number， 特定規則編號， 即特定規則)，則與此對應的條件表達式為真.(此選項只適用于被OpenBSD中pf程序做過標記的包(nt: pf， packet filter， 可理解為OpenBSD中的防火墻程序))

subrulenum num與 srnr 含義一致.

如果[label_num] 被指定， 則只有數據包含有指定的標簽id(label_num)， 則與此對應的條件表達式為真.要注意的是， 對于內含MPLS信息的IP數據包(即MPLS數據包)， 在表達式中遇到的第一個MPLS關鍵字會改變表達式中接下來關鍵字所對應數據包中數據的開始位置(即解碼偏移). 在MPLS網絡體系中過濾數據包時， mpls [label_num]表達式可以被多次使用. 關鍵字mpls每出現一次都會增加4字節過濾偏移(nt: 過濾偏移， 可理解為上面的解碼偏移).

pppoes如果數據包為PPP-over-Ethernet會話數據包(nt: ethernet type 為0×8864， PPP-over-Ethernet在上文已有說明， 可搜索關鍵字’PPP-over-Ethernet’找到其描述)， 則與此對應的條件表達式為真.

要注意的是， 對于PPP-over-Ethernet會話數據包， 在表達式中遇到的第一個pppoes關鍵字會改變表達式中接下來關鍵字所對應數據包中數據的開始位置(即解碼偏移).

iso proto protocol如果數據包的協議類型為iso-osi協議棧中protocol協議， 則與此對應的條件表達式為真.(nt: [初解]iso-osi 網絡模型中每層的具體協議與tcp/ip相應層采用的協議不同. iso-osi各層中的具體協議另需補充 )

lane如果數據包為ATM LANE 數據包， 則與此對應的條件表達式為真. 要注意的是， 如果是模擬以太網的LANE數據包或者LANE邏輯單元控制包， 表達式中第一個lane關鍵字會改變表達式中隨后條件的測試. 如果沒有指定lane關鍵字， 條件測試將按照數據包中內含LLC(邏輯鏈路層)的ATM包來進行.

llc如果數據包為ATM數據包， 則與此對應的條件表達式為真. 對于Solaris 操作系統上的SunATM設備。如果數據包為ATM數據包， 并且內含LLC則與此對應的條件表達式為真

oamf4s如果數據包為ATM數據包， 則與此對應的條件表達式為真. 對于Solaris 操作系統上的SunATM設備 ， 如果數據包為ATM數據包并且是Segment OAM F4 信元(VPI=0 并且 VCI=3)， 則與此對應的條件表達式為真.

(nt: OAM， Operation Administration and Maintenance， 操作管理和維護，可理解為:ATM網絡中用于網絡管理所產生的ATM信元的分類方式.

ATM網絡中傳輸單位為信元， 要傳輸的數據終究會被分割成固定長度(53字節)的信元，(初理解: 一條物理線路可被復用， 形成虛擬路徑(virtual path). 而一條虛擬路徑再次被復用， 形成虛擬信道(virtual channel)).通信雙方的編址方式為:虛擬路徑編號(VPI)/虛擬信道編號(VCI)).

OAM F4 flow 信元又可分為segment 類和end-to-end 類， 其區別未知， 需補充.)

metac如果數據包為ATM數據包， 則與此對應的條件表達式為真. 對于Solaris 操作系統上的SunATM設備 ， 如果數據包為ATM數據包并且是來自’元信令線路’(nt: VPI=0 并且 VCI=1， ‘元信令線路’， meta signaling circuit， 具體含義未知， 需補充)，則與此對應的條件表達式為真.

bcc如果數據包為ATM數據包， 則與此對應的條件表達式為真. 對于Solaris 操作系統上的SunATM設備 ， 如果數據包為ATM數據包并且是來自’廣播信令線路’(nt: VPI=0 并且 VCI=2， ‘廣播信令線路’， broadcast signaling circuit， 具體含義未知， 需補充)，則與此對應的條件表達式為真.

sc如果數據包為ATM數據包， 則與此對應的條件表達式為真. 對于Solaris 操作系統上的SunATM設備 ， 如果數據包為ATM數據包并且是來自’信令線路’(nt: VPI=0 并且 VCI=5， ‘信令線路’， signaling circuit， 具體含義未知， 需補充)，則與此對應的條件表達式為真.

ilmic如果數據包為ATM數據包， 則與此對應的條件表達式為真. 對于Solaris 操作系統上的SunATM設備 ， 如果數據包為ATM數據包并且是來自’ILMI線路’(nt: VPI=0 并且 VCI=16， ‘ILMI’， Interim Local Management Interface ， 可理解為基于SNMP(簡易網絡管理協議)的用于網絡管理的接口)則與此對應的條件表達式為真.

connectmsg

如果數據包為ATM數據包， 則與此對應的條件表達式為真. 對于Solaris 操作系統上的SunATM設備 ， 如果數據包為ATM數據包，并且是來自’信令線路’并且是Q.2931協議中規定的以下幾種消息: Setup， Calling Proceeding， Connect，Connect Ack， Release， 或者Release Done. 則與此對應的條件表達式為真。(nt: Q.2931 為ITU(國際電信聯盟)制定的信令協議. 其中規定了在寬帶綜合業務數字網絡的用戶接口層建立， 維護， 取消，網絡連接的相關步驟。)

metaconnect如果數據包為ATM數據包， 則與此對應的條件表達式為真. 對于Solaris 操作系統上的SunATM設備 ， 如果數據包為ATM數據包，并且是來自’元信令線路’并且是Q.2931協議中規定的以下幾種消息: Setup， Calling Proceeding， Connect，Connect Ack， Release， 或者Release Done. 則與此對應的條件表達式為真.

expr relop expr如果relop 兩側的操作數(expr)滿足relop 指定的關系， 則與此對應的條件表達式為真。relop 可以是以下關系操作符之一: >， expr 是一個算術表達式. 此表達式中可使用整型常量(表示方式與標準C中一致)， 二進制操作符(+， -， *， /， &， |，>)， 長度操作符， 以及對特定數據包中數據的引用操作符. 要注意的是， 所有的比較操作都默認操作數是無符號的，例如， 0×80000000 和 0xffffffff 都是大于0的(nt: 對于有符號的比較， 按照補碼規則， 0xffffffff 會小于0). 如果要引用數據包中的數據， 可采用以下表達方式:proto [expr : size]

proto 的取值可以是以下取值之一:ether， fddi， tr， wlan， ppp， slip， link， ip， arp， rarp，tcp， udp， icmp， ip6 或者 radio. 這指明了該引用操作所對應的協議層.(ether， fddi， wlan，tr， ppp， slip and link 對應于數據鏈路層， radio 對應于802.11(wlan，無線局域網)某些數據包中的附帶的”radio”頭(nt: 其中描述了波特率， 數據加密等信息)).

要注意的是， tcp， udp 等上層協議目前只能應用于網絡層采用為IPv4或IPv6協議的網絡(此限制會在tcpdump未來版本中進行修改). 對于指定協議的所需數據， 其在包數據中的偏移字節由expr 來指定.

以上表達中size 是可選的， 用來指明我們關注那部分數據段的長度(nt:通常這段數據是數據包的一個域)， 其長度可以是1， 2， 或4個字節. 如果不給定size， 默認是1個字節. 長度操作符的關鍵字為len，這代碼整個數據包的長度.

一些偏移以及域的取值除了可以用數字也可用名字來表達. 以下為可用的一些域(協議頭中的域)的名字: icmptype (指ICMP 協議頭中type域)， icmpcode (指ICMP 協議頭code 域)， 以及tcpflags(指TCP協議頭的flags 域)

以下為ICMP 協議頭中type 域的可用取值:icmp-echoreply， icmp-unreach， icmp-sourcequench， icmp-redirect， icmp-echo， icmp-routeradvert，icmp-routersolicit， icmp-timx-ceed， icmp-paramprob， icmp-tstamp， icmp-tstampreply，icmp-ireq， icmp-ireqreply， icmp-maskreq， icmp-maskreply

以下為TCP 協議頭中flags 域的可用取值:tcp-fin， tcp-syn， tcp-rst， tcp-push，tcp-ack， tcp-urg.