Debian Sniffer如何進行數據包過濾

在Debian系統上，可以使用多種工具進行數據包過濾，其中最常用的是 tcpdump 和 Wireshark。以下是這兩種工具的詳細使用方法：

tcpdump 命令

tcpdump 是一個非常強大的命令行網絡分析工具，它可以捕獲網絡接口上的數據包，并根據特定的過濾條件顯示出來。以下是一些常用的 tcpdump 過濾命令示例：

• 捕獲所有數據包：

  sudo tcpdump
  

• 指定捕獲特定網絡接口的數據包：

  sudo tcpdump -i eth0
  

• 指定捕獲特定協議的數據包：

  sudo tcpdump icmp
  

• 指定捕獲特定源或目標IP地址的數據包：

  sudo tcpdump host 192.168.1.100
  

• 指定捕獲特定端口的數據包：

  sudo tcpdump port 80
  

• 捕獲特定源和目的地址之間的數據包：

  sudo tcpdump src 192.168.1.100 and dst 192.168.2.100
  

• 捕獲特定網絡接口的數據包：

  sudo tcpdump -i eth0
  

Wireshark 過濾命令

Wireshark 是一個圖形界面的網絡分析工具，它提供了豐富的過濾選項來提取所需的數據包。以下是一些常用的 Wireshark 過濾命令示例：

• 根據 IP 地址過濾：

  • 篩選出源 IP 地址是 192.168.3.77 的全部數據包：

    ip.addr == 192.168.3.77
    

  • 篩選出源 IP 地址是 182.254.3.77 的數據包：

    ip.src == 182.254.3.77
    

  • 篩選出目的地址是 192.168.1.114 的數據包：

    ip.dst == 192.168.1.114
    

• 根據端口過濾：

  • 根據 TCP 端口篩選數據包，包括源端口和目的端口：

    tcp.port == 80
    

  • 根據 TCP 目的端口篩選數據包：

    tcp.dstport == 80
    

  • 根據 TCP 源端口篩選數據包：

    tcp.srcport == 80
    

  • 根據 UDP 端口篩選數據包，包括源端口和目的端口：

    udp.port == 1234
    

  • 根據 UDP 源端口篩選數據包：

    udp.srcport == 1234
    

  • 根據 UDP 的目的端口篩選數據包：

    udp.dstport == 1234
    

• 根據協議過濾：

  • 篩選出 http 協議中 GET 請求的數據包：

    http.request.method == "GET"
    

  • 篩選出 http 協議中的 POST 請求的數據包：

    http.request.method == "POST"
    

• 根據 Payload Type 條件過濾：

  • 根據網絡包的 Payload Type 類型進行條件過濾，比如根據下圖中的 111 枚舉值過濾：

    rtp.p_type == 111
    

• 根據組合條件過濾：

  • 篩選出源 IP 地址是 192.168.3.77 且目的 IP 地址是 192.168.3.78 的數據包：

    ip.src_host == 192.168.3.77 && ip.dst_host == 192.168.3.78
    

  • 篩選出源 IP 地址是 192.168.3.77 或者源 IP 地址是 192.168.3.78 的數據包：

    ip.src_host == 192.168.3.77 || ip.src_host == 192.168.3.78
    

  • 篩選出不是 IP 地址 192.168.3.77 的數據包：

    !(ip.addr == 192.168.3.77)
    ```。
    
    

這些工具提供了靈活且強大的數據包過濾功能，能夠滿足不同用戶在網絡管理和安全分析方面的需求。