dumpcap 是 Wireshark 套件中的一個命令行工具，用于捕獲網絡流量。要使用 dumpcap 篩選和顯示數據包，你可以使用 -Y 或 --filter 選項來指定一個 BPF（Berkeley Packet Filter）表達式。這個表達式定義了哪些數據包應該被捕獲。
以下是一些基本步驟和示例，說明如何使用 dumpcap 來篩選和顯示數據包：
打開終端或命令提示符。
運行 dumpcap?；镜拿罡袷饺缦拢?/p>
dumpcap [選項]
使用 -Y 或 --filter 選項指定過濾器。例如，如果你只想捕獲 HTTP 流量，可以使用以下命令：
dumpcap -i eth0 -Y "tcp port 80"
這里，-i eth0 指定了要監聽的網絡接口（在這個例子中是 eth0），而 "tcp port 80" 是 BPF 表達式，用于篩選目標或源端口為 80 的 TCP 數據包。
使用 -w 或 --file 選項將捕獲的數據包寫入文件。如果你想將捕獲的數據包保存到文件中以便稍后分析，可以使用以下命令：
dumpcap -i eth0 -Y "tcp port 80" -w output.pcap
讀取和顯示數據包。你可以使用 Wireshark 圖形界面工具打開 .pcap 文件，或者在命令行中使用 tshark（Wireshark 的另一個工具）來讀取和顯示數據包。
使用 tshark 顯示所有捕獲的數據包：
tshark -r output.pcap
使用 tshark 并應用過濾器來顯示特定的數據包：
tshark -r output.pcap -Y "tcp port 80"
請注意，BPF 表達式可以非常復雜，允許你根據多種標準篩選數據包，包括源地址、目標地址、協議類型、端口號等。你可以查閱 BPF 表達式的文檔來了解更多高級用法。
在實際使用中，你可能需要根據你的具體需求調整網絡接口名稱（如 eth0）、過濾器表達式以及其他選項。
