0

我不明白这里找到的这两个过滤器之间的区别：

proto[x:y] & z = z  : every bits are set to z when applying mask z to proto[x:y]
proto[x:y] = z      : p[x:y] has exactly the bits set to z

任何的想法？

4

1 回答 1

1

使用该语法，您可以按位过滤数据包。

例如，考虑 IP 帧的前两个字节。

0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|Version|  IHL  |Type of Service|          Total Length         |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

假设您只想过滤版本等于 4 的 ip 数据包（表示 IPv4 数据包）。

你可以做这样的事情

tcpdump -i ethX 'ip[0:1] & 0xf0 = 0x40'
  • ip[0:1]表示“从 IP 帧的偏移量零中提取 1 个字节”
  • & 0xf0过滤掉第一个字节的 IHL 位
  • = 0x40仅当版本位包含数字 4 时才会匹配

等等，您构建了一个自定义过滤器，深入挖掘捕获的帧。

在你列出的两种情况下，我想有一个错字。

我认为应该是：

proto[x:y] & z = n   : every bits are set to n when applying mask z to proto[x:y]
proto[x:y] = n       : p[x:y] has exactly the bits set to n
于 2013-02-13T15:14:05.443 回答