pcap过滤规则格式

函数名称：int pcap_compile(pcap_t *p, struct bpf_program *fp,char *str, int optimize, bpf_u_int32 netmask)函数功能：该函数用于将str指定的规则整合到fp过滤程序中去，并生成过滤程序入口地址，用于过滤选择期望的数据报。

参数说明：pcap_t *p：pcap_open_live返回的数据报捕获的指针；struct bpf_program *fp:指向一个子函数用于过滤，在pcap_compile()函数中被赋值；char *str:该字符串规定过滤规则；int optimize:规定了在结果代码上的选择是否被执行；bpf_u_int32 netmask:该网卡的子网掩码，可以通过pcap_lookupnet()获取；返回值：如果成功执行，返回0,否则返回-1；过滤规则由一个或多个原语(primitive)组成，如果为””则表示不进行任何过滤. 原语通常由一个标识(id, 名称或数字), 和标识前面的一个或多个修饰子(qualifier) 组成. 修饰子有三种不同的类型:type类型修饰子指出标识名称或标识数字代表什么类型的东西. 能够使用的类型有host, net和port. 例如, `host foo', `net 128.3', `port 20'. 假如不指定类型修饰子, 就使用缺省的host .dir方向修饰子指出相对于标识的传输方向 (数据是传入还是传出标识). 能够使用的方向有src, dst, src or dst和src and dst. 例如, `src foo', `dst net 128.3', `src or dst port ftp-data'.假如不指定方向修饰子, 就使用缺省的src or dst .对于 `null' 链路层 (就是说象 slip 之类的点到点协议), 用inbound和outbound修饰子指定所需的传输方向.proto协议修饰子需要匹配指定的协议. 能够使用的协议有: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp和udp. 例如, `ether src foo', `arp net 128.3', `tcp port 21'. 假如不指定协议修饰子, 就使用任何符合类型的协议. 例如, `src foo' 指 `(ip 或 arp 或 rarp)src foo' (注意后者不符合语法), `net bar' 指 `(ip 或 arp 或 rarp) net bar', `port 53' 指 `(tcp 或 udp) port 53'.[`fddi' 实际上是 `ether' 的别名; 分析器把他们视为 ``用在指定网络接口上的数据链路层.'' FDDI 报头包含类似于以太协议的源目地址, 而且通常包含类似于以太协议的报文类型, 因此您能够过滤 FDDI 域, 就象分析以太协议相同. FDDI 报头也包含其他域, 但是您不能在过滤器表达式里显式描述.]作为上述的补充, 有一些特别的 `原语' 关键字, 他们不同于上面的模式: gateway, broadcast, less, greater和数学表达式. 这些在后面有叙述.更复杂的过滤器表达式能够通过and, or和not连接原语来组建. 例如, `host foo and not port ftp and not port ftp-data'. 为了少敲点键, 能够忽略相同的修饰子. 例如, `tcp dst port ftp or ftp-data or domain' 实际上就是 `tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain'.允许的原语有:dst host host假如报文中 IP 的目的地址域是host, 则逻辑为真. host既能够是地址, 也能够是主机名.src host host假如报文中 IP 的源地址域是host, 则逻辑为真.host host假如报文中 IP 的源地址域或目的地址域是host, 则逻辑为真. 上面任何的 host 表达式都能够加上ip, arp, 或rarp关键字做前缀, 就象:ip host host他等价于:ether proto \ip and host host假如host是拥有多个 IP 地址的主机名, 他的每个地址都会被查验.ether dst ehost假如报文的以太目的地址是ehost, 则逻辑为真. Ehost既能够是名字 (/etc/ethers 里有), 也能够是数字 (有关数字格式另见ethers(3N) ).ether src ehost假如报文的以太源地址是ehost, 则逻辑为真.ether host ehost假如报文的以太源地址或以太目的地址是ehost, 则逻辑为真.gateway host假如报文把host当做网关, 则逻辑为真. 也就是说, 报文的以太源或目的地址是host, 但是 IP 的源目地址都不是host. host必须是个主机名, 而且必须存在 /etc/hosts 和/etc/ethers 中. (一个等价的表达式是ether host ehost and not host host对于host / ehost, 他既能够是名字, 也能够是数字.)dst net net假如报文的 IP 目的地址属于网络号net, 则逻辑为真. net既能够是名字 (存在/etc/networks 中), 也能够是网络号. (详见networks(4)).src net net假如报文的 IP 源地址属于网络号net, 则逻辑为真.net net假如报文的 IP 源地址或目的地址属于网络号net, 则逻辑为真.net net mask mask假如 IP 地址匹配指定网络掩码(netmask) 的net, 则逻辑为真. 本原语能够用src或dst修饰.net net/len假如 IP 地址匹配指定网络掩码的net, 则逻辑为真, 掩码的有效位宽为len. 本原语能够用src或dst修饰.dst port port假如报文是 ip/tcp 或 ip/udp, 并且目的端口是port, 则逻辑为真. port是个数字, 也能够是 /etc/services 中说明过的名字 (参看tcp(4P) 和udp(4P)). 假如使用名字, 则检查端口号和协议. 假如使用数字, 或有二义的名字, 则只检查端口号 (例如, dst port 513将显示tcp/login 的数据和 udp/who 的数据, 而port domain将显示 tcp/domain 和 udp/domain 的数据).src port port假如报文的源端口号是port, 则逻辑为真.port port假如报文的源端口或目的端口是port, 则逻辑为真. 上述的任意一个端口表达式都能够用关键字tcp或udp做前缀, 就象:tcp src port port他只匹配源端口是port的TCP 报文.less length假如报文的长度小于等于length, 则逻辑为真. 他等同于:len <= length.greater length假如报文的长度大于等于length, 则逻辑为真. 他等同于:len >= length.ip proto protocol假如报文是IP 数据报(参见ip(4P)),其内容的协议类型是protocol, 则逻辑为真. Protocol能够是数字, 也能够是下列名称中的一个: icmp, igrp, udp, nd, 或tcp. 注意这些标识符tcp, udp, 和icmp也同样是关键字, 所以必须用反斜杠(\) 转义, 在C-shell 中应该是\ .ether broadcast假如报文是以太广播报文, 则逻辑为真. 关键字ether是可选的.ip broadcast假如报文是IP广播报文, 则逻辑为真. Tcpdump 检查全0 和全1 广播约定, 并且检查本地的子网掩码.ether multicast假如报文是以太多目传送报文(multicast), 则逻辑为真. 关键字ether是可选的. 这实际上是`ether[0] & 1 != 0' 的简写.ip multicast假如报文是IP多目传送报文, 则逻辑为真.ether proto protocol假如报文协议属于以太类型的protocol, 则逻辑为真. Protocol能够是数字, 也能够是名字, 如ip, arp, 或rarp. 注意这些标识符也是关键字, 所以必须用反斜杠(\) 转义. [假如是FDDI (例如, `fddi protocol arp'), 协议标识来自802.2 逻辑链路控制(LLC)报头, 他通常位于FDDI 报头的顶层. 当根据协议标识过滤报文时, Tcpdump假设任何的FDDI 报文含有LLC 报头, 而且LLC 报头用的是SNAP 格式.]decnet src host假如DECNET 的源地址是host, 则逻辑为真, 该主机地址的形式可能是``10.123'', 或是DECNET 主机名. [只有配置成运行DECNET 的Ultrix 系统支持DECNET 主机名.]decnet dst host假如DECNET 的目的地址是host, 则逻辑为真.decnet host host假如DECNET 的源地址或目的地址是host, 则逻辑为真.ip, arp, rarp, decnet是:ether proto p的简写形式, 其中p为上述协议的一种.lat, moprc, mopdl是:ether proto p的简写形式, 其中p为上述协议的一种. 注意tcpdump现在不知道如何分析这些协议. tcp, udp, icmp是:ip proto p的简写形式, 其中p为上述协议的一种.expr relop expr假如这个关系成立, 则逻辑为真, 其中relop是>, <, >=, <=, =, != 之一, expr是数学表达式, 由常整数(标准C语法形式), 普通的二进制运算符[ , -, *, /, &, |], 一个长度运算符, 和指定的报文数据访问算符组成. 要访问报文内的数据, 使用下面的语法:proto [ expr : size ]Proto是ether, fddi, ip, arp, rarp, tcp, udp, or icmp之一, 同时也指出了下标操作的协议层. expr给出字节单位的偏移量, 该偏移量相对于指定的协议层. Size是可选项, 指出感兴趣的字节数;他能够是1, 2, 4, 缺省为1 字节. 由关键字len给出的长度运算符指明报文的长度.例如, `ether[0] & 1 != 0' 捕获任何的多目传送报文. 表达式 `ip[0] & 0xf != 5' 捕获任何带可选域的 IP 报文. 表达式 `ip[6:2] & 0x1fff = 0' 只捕获未分片和片偏移为0 的数据报. 这种检查隐含在tcp和udp下标操作中. 例如, tcp[0]一定是 TCP 报头的第一个字节, 而不是其中某个 IP片的第一个字节.原语能够用下述方法结合使用:园括弧括起来的原语和操作符(园括弧在Shell 中有专用, 所以必须转义).取反操作(`!' or `not').连结操作(`&&' or `and').或操作(`||' or `or').取反操作有最高优先级. 或操作和连结操作有相同的优先级, 运算时从左到右结合. 注意连结操作需要显式的and算符, 而不是并列放置.假如给出标识符, 但没给关键字, 那么暗指最近使用的关键字. 例如,not host vs and ace作为not host vs and host ace的简写形式, 不应该和not ( host vs or ace )混淆.表达式参数能够作为单个参数传给 tcpdump, 也能够作为复合参数, 后者更方便一些. 一般说来, 假如表达式包含 Shell 元字符(metacharacter), 传递单个括起来的参数要容易一些.复合参数在被解析前用空格联接一起.示例 (EXAMPLES)显示任何进出sundown的报文:host sundown显示helios和主机hot, ace之间的报文传送:host helios and \( hot or ace \)显示ace和除了helios以外的任何主机的 IP报文:ip host ace and not helios显示本地的主机和 Berkeley的主机之间的网络数据:net ucb-ether显示任何通过网关snup的 ftp 报文 (注意这个表达式被单引号括起, 防止 shell 解释园括弧):gateway snup and (port ftp or ftp-data)'显示既不是来自本地主机, 也不是传往本地主机的网络数据 (假如您把网关通往某个其他网络, 这个做法将不会把数据发往您的本地网络).ip and not net localnet显示每个 TCP会话的起始和结束报文 (SYN 和 FIN 报文), 而且会话方中有一个远程主机.tcp[13] & 3 != 0 and not src and dst net localnet'显示经过网关snup中大于 576 字节的 IP 数据报:gateway snup and ip[2:2] > 576'显示 IP 广播或多目传送的数据报, 这些报文不是通过以太网的广播或多目传送形式传送的: ether[0] & 1 = 0 and ip[16] >= 224'显示任何不是回响请求/应答的 ICMP 报文 (也就是说, 不是 ping 报文):icmp[0] != 8 and icmp[0] != 0"。