伯克利包过滤（Berkeley Packet Filter,BPF）语言

标签：

libpcap支持一种功能非常强大的过滤语言——“伯克利包过滤”语法。使用BPF过滤规则，你可以确定该获取和检查哪些流量，忽略哪些流量。BPF让你能够通过比较第2、3、4层协议中各个数据字段值的方法对流量进行过滤。BPF中内置了一些“基元”来指代一些常用的协议字段。可以用“host”、"prot"之类的基元写出非常简洁的BPF过滤规则，也可以检测位于指定偏移量上的字段（甚至可以是一个位）的值。BPF过滤器也可以由详尽的条件链和嵌套的逻辑“与”、“或”操作组成。

BPF基元

现在，构造一个BPF过滤器的最简单的办法就是使用BPF“基元”来指定协议、协议元素或者其他抓包规则。基元通常是由一个id(名称或序号)再加上一个或多个限定符组成的。

• type限定符：规定了id名或id序号指的是哪种类型的数据，可能的type有host、net、prot和protrange
• dir限定符：规定了流量是从id流进还是流出的（或两种兼有）。可能的dir有src、dst、ser or dst、src and dst、addr1、addr2、addr3和addr4
• Proto限定符：规定了所匹配的协议。可能的proto有：ether、fddi、tr、wlan、ip、ip6、arp、rarp、decnet、tcp和udp

最常用的BPF基元要数“host id”，它是用来过滤与某台主机相关的流量的，其中id一栏中应该填上一个地址或主机名。在此基础上，

伯克利包过滤（Berkeley Packet Filter,BPF）语言

标签：

原文地址：http://www.cnblogs.com/zhongxinWang/p/4303153.html