dumpcap 是 Wireshark 套件中的一個命令行工具，用于捕獲網絡流量。在 Debian 上使用 dumpcap 過濾數據，你可以使用 -Y 或 --filter 選項來指定一個 BPF (Berkeley Packet Filter) 表達式。這個表達式定義了哪些數據包應該被捕獲。
以下是如何在 Debian 上使用 dumpcap 過濾數據的基本步驟：
安裝 dumpcap:
如果你還沒有安裝 dumpcap，你可以使用 apt 包管理器來安裝它。打開終端并運行以下命令：
sudo apt update
sudo apt install wireshark
dumpcap 通常會作為 Wireshark 的一部分被安裝。
確定網絡接口:
在開始捕獲之前，你需要知道要監聽的網絡接口名稱。你可以使用 ip link 或 ifconfig 命令來查看可用的網絡接口。
ip link
或者
ifconfig -a
使用 dumpcap 捕獲數據包:
使用 dumpcap 命令來捕獲數據包。例如，如果你想捕獲所有經過 eth0 接口的數據包，你可以運行：
sudo dumpcap -i eth0
如果你想使用過濾器只捕獲 HTTP 流量，你可以這樣做：
sudo dumpcap -i eth0 -Y "tcp port 80"
這里的 -Y 選項后面跟著的是 BPF 表達式 "tcp port 80"，它指定了只捕獲目標端口或源端口為 80 的 TCP 數據包。
將捕獲的數據包寫入文件:
默認情況下，dumpcap 會將捕獲的數據包輸出到標準輸出。如果你想將數據包保存到文件中，可以使用 -w 選項指定文件名：
sudo dumpcap -i eth0 -w output.pcap
使用過濾器表達式: BPF 表達式可以非常復雜，允許你根據源地址、目的地址、端口號、協議類型等多種條件過濾數據包。例如，如果你想捕獲來自特定 IP 地址的數據包，可以使用如下表達式：
sudo dumpcap -i eth0 -Y "src host 192.168.1.1"
如果你想捕獲兩個主機之間的通信，可以使用：
sudo dumpcap -i eth0 -Y "host 192.168.1.1 and host 192.168.1.2"
請記住，編寫 BPF 表達式可能需要一些練習和對網絡協議的理解。
在使用 dumpcap 時，通常需要 root 權限，因為它需要訪問網絡接口。如果你不想每次都使用 sudo，可以考慮將你的用戶添加到 wireshark 組，并配置 udev 規則來允許非特權用戶捕獲數據包。
