नेटवर्क एनालाइज़र के लिए फ़िल्टर कैप्चर करें (tcpdump, Wireshark, Paketyzer)

1. फिल्टर पर कब्जा

ट्रैफ़िक विश्लेषक एक नेटवर्क व्यवस्थापक के जीवन में एक उपयोगी और प्रभावी उपकरण है, वे आपको नेटवर्क पर वास्तव में "संचारित" करने की अनुमति देते हैं, जो विभिन्न समस्याओं के निदान या कुछ प्रोटोकॉल और प्रौद्योगिकियों के संचालन के सिद्धांतों के अध्ययन को सरल बनाता है।
हालांकि, नेटवर्क पर अक्सर बहुत से विभिन्न डेटा ब्लॉक प्रसारित होते हैं, और यदि आप नेटवर्क इंटरफ़ेस से गुजरने वाली हर चीज को प्रदर्शित करने के लिए मजबूर करते हैं, तो यह बताना कि वास्तव में आवश्यक क्या है, समस्याग्रस्त हो सकता है।
इस समस्या को हल करने के लिए, ट्रैफ़िक विश्लेषणकर्ताओं ने ऐसे फ़िल्टर लागू किए हैं जो दो प्रकारों में विभाजित हैं: फ़िल्टर फ़िल्टर और प्रदर्शन फ़िल्टर। आज हम पहले प्रकार के फिल्टर - कैप्चर फिल्टर के बारे में बात करेंगे।
फ़िल्टर फ़िल्टर एक प्रकार का फ़िल्टर है, जो आपको केवल उन्हीं फ़्रेमों के कैप्चर को सीमित करने की अनुमति देता है जो विश्लेषण के लिए आवश्यक हैं, इस प्रकार कंप्यूटर के कंप्यूटिंग संसाधनों पर भार कम करने के साथ-साथ यातायात के विश्लेषण की प्रक्रिया को सरल बनाते हैं।

2. कब्जा फिल्टर का सिंटैक्स

कैप्चर फ़िल्टर एक्सप्रेशन में विशेष प्राइमेटिक्स का एक सेट होता है जो तथाकथित क्लासिफायरियर और ऑब्जेक्ट आइडेंटिफ़ायर (पते, नेटवर्क ऑब्जेक्ट्स, पोर्ट नंबर) से निर्मित होते हैं।

ध्यान दें : सभी क्लासिफायर केस-संवेदी हैं और केवल छोटे अक्षरों में लिखे जाने चाहिए।

आइए उनके साथ अधिक विस्तार से व्यवहार करें।
क्लासिफायर निम्नलिखित किस्मों के हो सकते हैं:

• प्रकार - वस्तु प्रकार
  
  • होस्ट - होस्ट (डिफ़ॉल्ट प्रकार, यदि प्रकार निर्दिष्ट नहीं है, तो यह माना जाता है कि यह होस्ट है)
  • नेट - नेटवर्क
  • port - बंदरगाह
  
  

उदाहरण के लिए :
मेजबान 192.168.0.1 - ट्रैफ़िक कैप्चर जिसमें IP 192.168.0.1 पते (प्रेषक या प्राप्तकर्ता) के रूप में उपयोग किया जाता है
शुद्ध 172.16.0.0/16 - ट्रैफ़िक कैप्चर जिसमें पता (प्रेषक या प्राप्तकर्ता) नेटवर्क 172.16.0.0/16 से आईपी है (अधिक सटीक रूप से, यह 172.16.0.0 से 172.16.25.255 तक की सीमा में है), जबकि यह केवल है मिलान वाले पते के लिए सिर्फ एक खोज फ़िल्टर, यह कोई फर्क नहीं पड़ता कि कौन सा मुखौटा इंटरफ़ेस पर कॉन्फ़िगर किया गया है, और आपको भ्रमित नहीं होना चाहिए कि मुखौटा / 16 द्वारा 172.16.0.0 नेटवर्क नंबर है, हम बिल्कुल नहीं जानते कि इंटरफ़ेस पर कौन सा मुखौटा कॉन्फ़िगर किया गया है, और औपचारिक रूप से, ऐसा नोड पता मान्य है।
पोर्ट 80 - ट्रैफ़िक कैप्चर जिसमें पोर्ट 80 (udp या tcp) से संबंधित डेटा है
10.0.0.1 - ट्रैफ़िक कैप्चर जिसमें पता (प्रेषक या प्राप्तकर्ता) आईपी 10.0.0.1 है, होस्ट क्लासिफायर निर्दिष्ट नहीं है, लेकिन यह डिफ़ॉल्ट रूप से माना जाता है।

• दिर - दिशा वस्तु (दिशा) के सापेक्ष
  
  • src - ऑब्जेक्ट प्रेषक है
  • dst - ऑब्जेक्ट रिसीवर है
  
  

उदाहरण के लिए :
src host 192.168.0.1 - ट्रैफ़िक कैप्चर जिसमें IP पता 192.168.0.1 प्रेषक के पते के रूप में उपयोग किया जाता है (प्राप्तकर्ता नहीं)
dst net 172.16.0.0/16 - ट्रैफ़िक कैप्चर जिसमें प्राप्तकर्ता का पता (प्रेषक नहीं) नेटवर्क 172.16.0.0/16 से IP है (अधिक सटीक रूप से, यह 172.16.0.0 से 172.16.255.255 तक की सीमा में है)।

• प्रोटो - इंटरैक्शन प्रोटोकॉल
  
  • ईथर - मूल ईथरनेट नेटवर्क प्रौद्योगिकी, आमतौर पर इंगित करता है कि फ़िल्टर एक हार्डवेयर मैक पते का उपयोग करता है
  • आईपी - आईपीवी 4 प्रोटोकॉल
  • IP6 - IPv6 प्रोटोकॉल
  • arp - एआरपी प्रोटोकॉल
  • टीसीपी - टीसीपी प्रोटोकॉल
  • यूडीपी - यूडीपी प्रोटोकॉल
  • यदि कोई प्रोटोकॉल निर्दिष्ट नहीं है, तो यह माना जाता है कि ऑब्जेक्ट के प्रकार के साथ संगत सभी ट्रैफ़िक को कैप्चर किया जाना चाहिए
  
  

उदाहरण के लिए :
src ईथर होस्ट 00: 11: 22: 33: 44: 55 - ट्रैफ़िक कैप्चर जिसमें 00: 11: 22: 33: 44: 55 को प्रेषक के मैक पते के रूप में उपयोग किया जाता है।
आईपी ​​icmp - ICMP पैकेट पर कब्जा।
टीसीपी पोर्ट 80 - ट्रैफिक कैप्चर जिसमें टीसीपी पोर्ट 80 से संबंधित डेटा है

ऑब्जेक्ट आइडेंटिफायर और क्लासिफायर के अलावा, फिल्टर में कीवर्ड गेटवे , ब्रॉडकास्ट , मल्टिकास्ट , कम , अधिक, साथ ही अंकगणित के भाव हो सकते हैं।

उदाहरण के लिए :
आईपी ​​मल्टीकास्ट - क्लास डी के पते वाले आईपी पैकेट्स पर कब्जा।
कम 1000 - उन फ़्रेमों को कैप्चर करें जो आकार में 1000 बाइट्स से कम हैं।

शर्तों का एक गुच्छा तार्किक संचालन का उपयोग करके हो सकता है:

• "और" - और (&&)
• या - (||)
• "नहीं" - नहीं (!) - मूल्य का उलटा

इन ऑपरेशनों की प्राथमिकता निम्नानुसार है:

• उलटा ऑपरेशन की सर्वोच्च प्राथमिकता है
• तब तार्किक "और"
• सबसे कम प्राथमिकता ऑपरेशन "ओआर" है।

सामान्य गणितीय अभिव्यक्तियों में, कोष्ठक () का उपयोग करके प्राथमिकता को बदला जा सकता है, जिसमें पहले कार्य किए जाते हैं।

उदाहरण के लिए :
नेट 192.168.0.0/24 और टीसीपी पोर्ट 21 - नेटवर्क (रेंज) 192.168.0.0/24 (या तो प्रेषक या रिसीवर) से संबंधित ट्रैफ़िक कैप्चर करें और टीसीपी के माध्यम से डेटा ट्रांसमिट करें और पोर्ट 21 का उपयोग करें।
मेजबान 192.168.0.1 या मेजबान 192.168.0.221 - मेजबान 192.168.0.1 या मेजबान 192.168.0.221 की मेजबानी से संबंधित ट्रैफ़िक पर कब्जा (यह कोई फर्क नहीं पड़ता कि प्रेषक कौन है, प्राप्तकर्ता कौन है, और दो शर्तों में से एक भी कम से कम इनमें से एक बनाने के लिए पर्याप्त है) पते फ्रेम में मौजूद थे)
मेजबान 192.168.0.1 या मेजबान 192.168.0.2 और टीसीपी पोर्ट 22 - मेजबान 192.168.0.1 या टीसीपी प्रोटोकॉल से ट्रैफ़िक या होस्ट 192.168.0.2 से संबंधित पोर्ट 22 का उपयोग करके किसी भी ट्रैफ़िक को कैप्चर करें।
(होस्ट 192.168.0.1 या होस्ट 192.168.0.2) और टीसीपी पोर्ट 22 - टीसीपी प्रोटोकॉल ट्रैफ़िक कैप्चर करें और पोर्ट 22 का उपयोग करके होस्ट 192.168.0.1 या होस्ट 192.168.0.2 (दोनों में से, या दोनों) की मेजबानी करें।
(host 192.168.0.1 || host 192.168.0.1) host & tcp port 22 को होस्ट नहीं करना चाहिए - TCP प्रोटोकॉल ट्रैफ़िक को छोड़कर किसी भी ट्रैफ़िक को कैप्चर करें और 192.168.0.1 को होस्ट करने के लिए या 192.168.0.2 (दोनों में से, या दोनों) को होस्ट करने के लिए संबंधित 22 का उपयोग करें।

यदि फ़िल्टर में कई समान दोहराए जाने वाले क्लासिफायर हैं, तो रिकॉर्ड को कम करने के लिए उन्हें छोड़ा जा सकता है।

उदाहरण के लिए :
शुद्ध 192.168.0.0/24 और (टीसीपी पोर्ट 21 या टीसीपी पोर्ट 20 या टीसीपी पोर्ट 25 या टीसीपी पोर्ट 80 या टीसीपी पोर्ट 110)
को कम किया जा सकता है
शुद्ध 192.168.0.0/24 और (टीसीपी पोर्ट 21 या 20 या 25 या 80 या 110)

ध्यान दें :
एक अभिव्यक्ति जिसमें पैकेट 1.1.1.1 और 1.1.1.2 के पते शामिल नहीं हैं:
नहीं (मेजबान 1.1.1.1 और मेजबान 1.1.1.2)
इसे संक्षिप्त रूप में देखा जा सकता है:
नहीं (मेजबान 1.1.1.1 और 1.1.1.2 मेजबान)
लेकिन पसंद नहीं:
1.1.1.1 और 1.1.1.2 की मेजबानी नहीं - इस मामले में पैकेट दिखाए जाएंगे जिसमें कोई पहला पता नहीं है और एक दूसरा है।
और ऐसा नहीं है
नहीं (मेजबान 1.1.1.1 या 1.1.1.2) - इस मामले में पैकेट को बाहर रखा जाएगा जिसमें कम से कम एक संकेत दिए गए पते में से एक है।

बेसिक प्राइमेटिव्स की एक सूची जो कैप्चर फिल्टर्स लिखने के लिए इस्तेमाल की जा सकती है, तालिका 2-1 में दिखाई गई है।

तालिका 2-1। बुनियादी प्राइमिटिव्स की सूची जिन्हें कैप्चर फिल्टर लिखने के लिए इस्तेमाल किया जा सकता है।

आदिम	विवरण
dst होस्ट ip_address	फ़्रेम को कैप्चर करें जिसमें गंतव्य IPv4 / IPv6 हेडर में निर्दिष्ट होस्ट पता होता है
src होस्ट ip_address	फ़्रेम को कैप्चर करें जिसमें IPv4 / IPv6 हेडर में हेडर के प्रेषक पते क्षेत्र में निर्दिष्ट होस्ट पता होता है
host_address होस्ट करें	फ़्रेम को कैप्चर करें जिसमें IPv4 / IPv6 हेडर में हेडर के प्रेषक या रिसीवर एड्रेस फ़ील्ड में निर्दिष्ट होस्ट पता होता है। फ़िल्टर के बराबर: ईथर प्रोटो आईपी और होस्ट ip_address
ईथर डीएसटी mac_address	फ़्रेम को कैप्चर करें जिसमें नोड का निर्दिष्ट मैक पता लिंक लेयर हेडर के प्राप्तकर्ता के एड्रेस फ़ील्ड में है
ईथर src mac_address	फ़्रेम को कैप्चर करें जिसमें लिंक लेयर हेडर के प्रेषक पते फ़ील्ड में नोड का निर्दिष्ट मैक पता होता है
ईथर मेजबान mac_address	उन फ़्रेमों को कैप्चर करें जिनमें नोड के निर्दिष्ट मैक पते में लिंक लेयर हेडर के प्रेषक या रिसीवर के एड्रेस फ़ील्ड में हो
dst नेट नेटवर्क	फ़्रेम को कैप्चर करें जिसमें IPv4 / IPv6 हेडर एड्रेस फ़ील्ड में निर्दिष्ट पता होता है जो निर्दिष्ट क्लास नेटवर्क की सीमा से संबंधित होता है
src नेट नेटवर्क	फ़्रेम को कैप्चर करें जिसमें IPv4 / IPv6 हेडर में निर्दिष्ट क्लास नेटवर्क रेंज के प्रेषक पते क्षेत्र में निर्दिष्ट पता शामिल है
नेट नेटवर्क	प्रेषक या प्राप्तकर्ता फ़ील्ड में निर्दिष्ट नेटवर्क से पते वाले सभी IPv4 / IPv6 पैकेट का चयन करता है
नेट नेटवर्क मास्क मास्क	फ़्रेम को कैप्चर करें जिसमें IPv4 / IPv6 हेडर में निर्दिष्ट नेटवर्क रेंज के प्रेषक या रिसीवर एड्रेस फ़ील्ड में एक निर्दिष्ट पता होता है
नेट नेटवर्क / मास्क_लिफ्ट	फ़्रेम को कैप्चर करें जिसमें IPv4 / IPv6 हेडर में निर्दिष्ट नेटवर्क रेंज के प्रेषक या रिसीवर एड्रेस फ़ील्ड में एक निर्दिष्ट पता होता है
dst पोर्ट पोर्ट	फ़्रेम को कैप्चर करें जिसमें यूडीपी या टीसीपी हेडर डेस्टिनेशन पोर्ट में निर्दिष्ट पोर्ट नंबर होता है
src पोर्ट पोर्ट	फ़्रेम को कैप्चर करें जिसमें यूडीपी या टीसीपी हेडर पोर्ट में निर्दिष्ट पोर्ट नंबर होता है
बंदरगाह का बंदरगाह	फ़्रेम को कैप्चर करें जिसमें यूडीपी या टीसीपी हेडर पोर्ट में निर्दिष्ट पोर्ट नंबर होता है
कम लंबाई	निर्दिष्ट मान से बड़ा कोई फ़्रेम कैप्चर न करें
अधिक से अधिक लंबाई	उन फ़्रेमों को कैप्चर करें जिनका आकार निर्दिष्ट मान से कम नहीं है
आईपी ​​प्रोटो प्रोटोकॉल	फ़्रेम को कैप्चर करें जिसमें IPv4 हेडर में प्रोटोकॉल फ़ील्ड में निर्दिष्ट प्रोटोकॉल का पहचानकर्ता होता है। इस मामले में, आप न केवल प्रोटोकॉल के संख्यात्मक मूल्यों को निर्दिष्ट कर सकते हैं, बल्कि उनके मानक नाम (icmp, igmp, igrp, pim, ah, esp, vrrp, udp, tcp और अन्य) भी निर्दिष्ट कर सकते हैं। हालांकि, यह ध्यान में रखना चाहिए कि tcp, udp और icmp का उपयोग कीवर्ड के रूप में भी किया जाता है, इसलिए, इन प्रतीकात्मक पहचानकर्ताओं से पहले एक बैकस्लैश चरित्र ("\") जोड़ा जाना चाहिए
ip6 प्रोटो प्रोटोकॉल	फ़्रेम को कैप्चर करें जिसमें IPv4 हेडर में प्रोटोकॉल फ़ील्ड में निर्दिष्ट प्रोटोकॉल का पहचानकर्ता होता है। इसके अलावा, आप न केवल प्रोटोकॉल के संख्यात्मक मूल्यों को निर्दिष्ट कर सकते हैं, बल्कि उनके मानक नाम (icmp6, igmp, igrp, pim, ah, esp, vrrp, udp, tcp और अन्य) भी निर्दिष्ट कर सकते हैं। हालाँकि, यह ध्यान दिया जाना चाहिए कि tcp, udp और icmp6 का उपयोग कीवर्ड के रूप में भी किया जाता है, इसलिए, एक बैकस्लैश चरित्र ("\") को इन प्रतीकात्मक पहचानकर्ताओं से पहले होना चाहिए
ईथर प्रसारण	सभी प्रसारण ईथरनेट फ़्रेमों को कैप्चर करें। ईथर कीवर्ड को छोड़ा जा सकता है
आईपी ​​प्रसारण	IPv4 पैकेट हेडर में प्रसारण पतों वाले फ़्रेमों को कैप्चर करें। इस मामले में, यह निर्धारित करने के लिए कि क्या पता प्रसारित किया गया है, सबनेट मास्क का उपयोग उस इंटरफ़ेस के लिए किया जाता है जो पैकेट पर कब्जा करने के लिए उपयोग किया जाता है। यह एक सीमित प्रसारण पते पर भेजे गए पैकेटों को भी कैप्चर करता है
ईथर मल्टीकास्ट	सभी ईथरनेट मल्टीकास्ट फ़्रेमों को कैप्चर करें। ईथर कीवर्ड को छोड़ा जा सकता है
आईपी ​​मल्टीकास्ट	IPv4 पैकेट हेडर में मल्टीकास्ट एड्रेस वाले फ्रेम कैप्चर करें
ip6 मल्टीकास्ट	IPv6 पैकेट हेडर में मल्टीकास्ट एड्रेस वाले फ्रेम कैप्चर करें
ईथर प्रोटो प्रोटोकॉल_टाइप	निर्दिष्ट प्रोटोकॉल प्रकार के साथ ईथरनेट फ्रेम पर कब्जा। प्रोटोकॉल संख्या या नाम (आईपी, आईपी 6, आरपीपी, आरएआरपी, एटलक, एर्कप, डिकनेट, एसटीए, एमओपीडीएल, एमओपीकेसी, आइसो, एसटीपी, आईपीएक्स, नेटएक्सयूई) द्वारा निर्दिष्ट किया जा सकता है
ip, ip6, arp, rarp, atalk, aarp, decnet, iso, stp, ipx, netbeui, tcp, udp, icmp	निर्दिष्ट प्रोटोकॉल के डेटा को प्रसारित करने वाले फ़्रेम कैप्चर करें। के लिए एक आशुलिपि के रूप में इस्तेमाल किया: ईथर प्रोटो प्रोटोकॉल
वलन [vlan_id]	IEEE 802.1Q के अनुरूप फ्रेम पर कब्जा। यदि vlan_id निर्दिष्ट है, तो केवल निर्दिष्ट VLAN से संबंधित फ़्रेम कैप्चर किए जाते हैं

3. कैप्चर फ़िल्टर के उन्नत उदाहरण

कैप्चर फिल्टर में पते और प्रोटोकॉल के सरल संकेत के अलावा, आप अधिक जटिल निर्माणों का उपयोग कर सकते हैं जो अधिक सूक्ष्म हेडर विश्लेषण के लिए अनुमति देते हैं।
इसके लिए, निम्न प्रारूप के तार्किक मान लौटाने वाले भावों का उपयोग किया जाता है:

अभिव्यक्ति ऑपरेशन अभिव्यक्ति

जिसमें अभिव्यक्ति स्थिर हो सकती है, अंकगणित (+, -, *, /) या बाइनरी बिटवाइज़ ऑपरेशंस (& - "और", - - "या", << - बाईं ओर शिफ्ट, >> - दाईं ओर शिफ्ट) के परिणाम हो सकते हैं। ऑपरेटर लंबी ऑफसेट , डेटा या हेडर फ़ील्ड फ़ील्ड है। प्रतीकों ">" (अधिक), "<" (कम), "> =" (अधिक समान), "<=" (बराबर से कम), "=" (बराबर), "! =" एक ऑपरेशन के रूप में इस्तेमाल किया जा सकता है! (बराबर नहीं)। इस प्रकार, कुछ क्षेत्रों के संयोग या गैर-संयोग के लिए जांच करना संभव है या आवश्यक मूल्यों के साथ एक फ्रेम के बाइट्स, एक-दूसरे के साथ विभिन्न हेडर फ़ील्ड्स की तुलना करें, और उन पर कुछ अंकगणितीय और तार्किक संचालन भी करें और कुछ मानों के साथ इन ऑपरेशनों के परिणामों की तुलना करें।
उन्नत फ़िल्टर का उपयोग करने का सबसे सरल उदाहरण " 5 = 3 + 1 " होगा, जहां " 5 " और " 3 + 1 " अभिव्यक्ति हैं, और " = " एक ऑपरेशन है। इस स्ट्रिंग की गणना के परिणामस्वरूप, एक बूलियन मान वापस आ जाएगा, इस मामले में गलत है ।

डेटा या फ़्रेम हेडर प्राप्त करने के लिए, प्रोटो [ ऑफसेट : आकार ] आदिम का उपयोग किया जाता है।

नोट : इस मामले में वर्गाकार कोष्ठक एक वाक्यविन्यास तत्व है, वैकल्पिक क्षेत्र का संकेत नहीं।

प्रोटो पैरामीटर में प्रोटोकॉल का नाम होता है, जिसके शीर्षलेख से आपको कुछ डेटा (ईथर, fddi, tr, wlan, ppp, slip, link, ip, arp, rarp, tcp, udp, icmp, ip6 और अन्य) का चयन करने की आवश्यकता होती है।
ऑफ़सेट पैरामीटर निर्दिष्ट प्रोटोकॉल के हेडर की शुरुआत के सापेक्ष बाइट्स में ऑफसेट को इंगित करता है, बाइट्स की संख्या शून्य से शुरू होती है: आईपी पैकेट की शुरुआत से आईपी ​​[0] पहला बाइट है, टीसीपी [1] टीसीपी सेगमेंट की शुरुआत से दूसरा बाइट है, ईथर [3] चौथा बाइट है। ईथरनेट फ्रेम की शुरुआत से।
आकार पैरामीटर बाइट्स की संख्या को इंगित करता है, जो ऑफसेट में निर्दिष्ट बाइट से शुरू होता है, आकार फ़ील्ड वैकल्पिक है, और यदि यह अनुपस्थित है, तो माना जाता है कि 1 बाइट लेना आवश्यक है: ip [2: 2] - तीसरा और आईपी ​​पैकेट की शुरुआत से चौथा बाइट्स, टीसीपी [4] - टीसीपी खंड की शुरुआत से पांचवां बाइट्स, ईथर [6-6] - सातवें से बारहवें तक बाइट्स ईथरनेट फ्रेम की शुरुआत से।
यदि आप ऑफसेट फ़ील्ड में एक नकारात्मक मान सेट करते हैं, तो पिछले हेडर के बाइट्स जो प्रोटो पैरामीटर में निर्दिष्ट प्रोटोकॉल हेडर पर जाते हैं, का चयन किया जाएगा। लेकिन एक ही समय में, प्रोटो आदिम में निर्दिष्ट प्रोटोकॉल हेडर की उपस्थिति को फ्रेम में आवश्यक होगा। इस प्रकार, फिल्टर ईथर [11] = 0x37 (ईथरनेट फ्रेम का 12 वां बाइट लें और इसकी कीमत 0x37 से तुलना करें) और आईपी ​​[-3] = 0x37 ( IP बाइट से पहले हेडर के अंत से तीसरा बाइट लें) और तुलना करें इसकी कीमत 0x37 के साथ) समान नहीं है। पहले में, सभी फ़्रेम जिसमें प्रेषक का मैक पता 37 के साथ समाप्त हो जाएगा, और दूसरे में, आईपी प्रोटोकॉल की उपस्थिति की भी आवश्यकता होगी, और आईपी प्रोटोकॉल वाले फ्रेम नहीं हैं, उदाहरण के लिए, एआरपी फ्रेम पर कब्जा नहीं किया जाएगा।

उदाहरण के लिए :
IP [1: 1] और ip [1] के भाव एक ही परिणाम की ओर ले जाएंगे - IPv4 हेडर के दूसरे बाइट को चुना गया
टीसीपी [8: 2] अभिव्यक्ति टीसीपी हैडर के नौवें और दसवें बाइट्स (स्रोत पोर्ट क्षेत्र) का चयन करेगी।
अभिव्यक्ति आईपी ​​[-3] = 0x37 उन सभी IPv4 पैकेटों का चयन करेगा जिनके प्रेषक MAC पता "0x37" के साथ समाप्त होता है।

ध्यान रखें कि टीसीपी और यूडीपी प्रोटोकॉल के लिए प्रोटो [ ऑफसेट : आकार ] के उपयोग से डेटा का चयन करते समय, आईपी पैकेट के विखंडन को ध्यान में रखा जाता है। नतीजतन, tcp [0] का अर्थ हमेशा TCP हैडर का पहला बाइट होगा, और कभी भी पैकेट डेटा के पहले बाइट के चयन की ओर नहीं जाएगा जो फ़्रेग्मेंट चेन से पहला फ़्रेग्मेंट ट्रांसफर नहीं करता है।
कुछ प्रोटोकॉल के लिए, कुछ क्षेत्रों और ऑफसेट मूल्यों को न केवल संख्याओं के आधार पर निर्दिष्ट किया जा सकता है, बल्कि नामों से भी। उदाहरण के लिए, ICMP के लिए, icmptype पैरामीटर का समर्थन किया जाता है , जो कि icmp-echoreply , icmp-unreach , icmp-sourcequench , icmp-redirect , icmp-echo , icmp-routeradvert , icmp-routersolicit , icmp-timxceed , icmp-paramprob , मान ले सकता है । -स्टाम्प , आईकम्प -टस्टम-प्रीप्ले , आईकम्प-इरेक , आईकम्प-आइरेक्रेप्ली , आईकम्प-मास्क्रेक , आईकम्प -मास्क्रेप्ली । टीसीपी झंडे का विश्लेषण करने के लिए, आप tcpflags पैरामीटर पहचानकर्ता tcp-fin , tcp-syn , tcp-rst , tcp-push , tcp-ack और tcp-अर्जेंट का उपयोग कर सकते हैं।

उदाहरण के लिए :
अभिव्यक्ति tcp [tcpflags] & (tcp-syn | tcp-fin)! = 0 टीसीपी सेगमेंट वाले सभी फ़्रेमों का चयन करेगा जिसमें सत्र खुलता है या समाप्त होता है।
अभिव्यक्ति मैं cmp [icmptype]! = Icmp-echo और icmp [icmptype ”! = Icmp-echoreply , ICMP प्रोटोकॉल वाले सभी फ़्रेमों का चयन करता है, जो गूंज अनुरोधों और गूंज प्रतिक्रियाओं को छोड़कर।

ऐसी परिस्थितियां हो सकती हैं जिनमें किसी विशिष्ट बाइट के बिट्स के केवल भाग का विश्लेषण करना आवश्यक है। इन समस्याओं को हल करने के लिए, बिट ऑपरेशन "AND" (&) का उपयोग किया जाता है। इसके साथ, आप एक बाइट के केवल कुछ बिट्स को बचा सकते हैं, और बाकी को रीसेट किया जा सकता है।
उदाहरण के लिए, हमें केवल उन फ़्रेमों का चयन करना होगा जो प्रसारण या समूह फ़्रेम द्वारा चैनल स्तर पर प्रसारित किए जाते हैं। हम जानते हैं कि आप इसके उच्च बाइट द्वारा मैक पते का प्रकार निर्धारित कर सकते हैं:

पते का प्रकार	16 वीं प्रणाली में उच्च बाइट मूल्य	2 सिस्टम में उच्च बाइट मान
दिशात्मक \ Unicast	00	0000000 0
समूह \ मल्टीकास्ट	01	0000000 1
प्रशासनिक रूप से असाइन किया गया \ व्यवस्थापक आईडी	01	००००००१ ०
प्रसारण \ प्रसारण	एफएफ	१११११११ १

इस जानकारी के आधार पर, हम यह निष्कर्ष निकाल सकते हैं कि प्रसारण या मल्टीकास्ट में पते के उच्च बाइट का कम से कम महत्वपूर्ण बिट एक है, और बाकी हिस्सों में यह शून्य है। यदि हम पते के उच्च बाइट को लेते हैं, तो निम्नतम को छोड़कर इसके सभी बिट्स को शून्य कर देते हैं, और बाइट का मूल्य एक के बराबर हो जाता है, तो यह पता या तो प्रसारित या मल्टीकास्ट था, यदि बाइट का मूल्य शून्य हो जाता है, तो यह पता या तो निर्देशित या प्रशासनिक था निर्दिष्ट। नतीजतन, इस चेक को करने के लिए, निम्नलिखित अभिव्यक्ति का उपयोग किया जाना चाहिए: ईथर [0] और 1 = 1 , जहां ईथर [0] - ईथरनेट हेडर के पहले बाइट का मूल्य प्राप्त करता है, और 1 - तार्किक "और" बिट ऑपरेशन, निम्न को छोड़कर, इस बाइट के सभी बिट्स को शून्य करता है। , " = 1 " - इकाई के साथ संयोग के लिए परिणाम की जांच करें।
आइए हम एक और उदाहरण की अधिक विस्तार से जाँच करें।
हमें IPv4 हेडर के सेवा के प्रकार (ToS) क्षेत्र की सामग्री प्राप्त करनी होगी। ऐसा करने के लिए, RFC-791 का जिक्र करते हुए, हम देखते हैं कि यह फ़ील्ड सिंगल-बाइट फ़ील्ड है, और हेडर का दूसरा बाइट:

 3.1।  इंटरनेट हैडर प्रारूप
   इंटरनेट हेडर की सामग्री का सारांश इस प्रकार है:
     0 1 2 3   
     0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 1 1 
    + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - - - - - - - - - - - - - - - - - - -जरहीरवार का नाम भी इस तरह का होता है। + - + - + - + - + - + - + - +
    | संस्करण |  IHL | सेवा का प्रकार |  कुल लंबाई |
    + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - - - - - - - - - - - - - - - - - - -जरहीरवार का नाम भी इस तरह का होता है। + - + - + - + - + - + - + - +
    |  पहचान | झंडे |  फसाद की शुरुआत |
    + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - - - - - - - - - - - - - - - - - - -जरहीरवार का नाम भी इस तरह का होता है। + - + - + - + - + - + - + - +
    |  जीने का समय |  प्रोटोकॉल |  हैडर चेकसम |
    + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - - - - - - - - - - - - - - - - - - -जरहीरवार का नाम भी इस तरह का होता है। + - + - + - + - + - + - + - +
    |  स्रोत का पता |
    + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - - - - - - - - - - - - - - - - - - -जरहीरवार का नाम भी इस तरह का होता है। + - + - + - + - + - + - + - +
    |  गंतव्य का पता |
    + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - - - - - - - - - - - - - - - - - - -जरहीरवार का नाम भी इस तरह का होता है। + - + - + - + - + - + - + - +
    |  विकल्प |  गद्दी |
    + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - + - - - - - - - - - - - - - - - - - - -जरहीरवार का नाम भी इस तरह का होता है। + - + - + - + - + - + - + - +

इसका मूल्य प्राप्त करने के लिए, हमें निम्नलिखित आदिम का उपयोग करने की आवश्यकता है:
आईपी ​​[1: 1] - बाइट नंबर 1 से शुरू होने वाले आईपी हेडर का एक बाइट प्राप्त करें (बाइट नंबरिंग शून्य से शुरू होती है)।
अब हम इस क्षेत्र की सामग्री के आधार पर फ़िल्टर बना सकते हैं।
यदि हम चाहते हैं कि IPv4 हेडर वाले सभी फ़्रेम प्रदर्शित हों, जिसमें ToS फ़ील्ड शून्य है, तो हमें निम्नलिखित लिखने की आवश्यकता है: ip [1: 1] = 0 ।
यदि हम चाहते हैं कि IPv4 हेडर वाले सभी फ़्रेम प्रदर्शित हों, जिसमें ToS फ़ील्ड शून्य नहीं है, तो हमें निम्नलिखित लिखने की आवश्यकता है: ip [1: 1]! = 0 ।
लेकिन आप आगे जा सकते हैं, RFC-791 के अनुसार, ToS फ़ील्ड एक समग्र फ़ील्ड है और इसमें निम्न संरचना है:

          0 1 2 3 4 5 6 7
       + ----- + ----- + ----- + ----- + ----- + ----- + ----- + ----- +
       |  |  |  |  |  |  |
       |  PRECEDENCE |  डी |  टी |  आर |  0 |  0 |
       |  |  |  |  |  |  |
       + ----- + ----- + ----- + ----- + ----- + ----- + ----- + ----- +
       बिट्स 0-2: वरीयता।
       बिट 3: 0 = सामान्य विलंब, 1 = निम्न विलंब।
       बिट्स 4: 0 = सामान्य थ्रूपुट, 1 = उच्च थ्रूपुट।
       बिट्स 5: 0 = सामान्य सापेक्षता, 1 = उच्च सापेक्षता।
       बिट 6-7: भविष्य के उपयोग के लिए आरक्षित।

पहले तीन बिट्स वरीयता हैं, चौथा विलंबता आवश्यकताओं का वर्णन करता है, पांचवां बैंडविड्थ आवश्यकताओं का वर्णन करता है, छठा लिंक विश्वसनीयता आवश्यकताओं का वर्णन करता है, सातवें और आठवें भविष्य के उपयोग के लिए आरक्षित हैं।
यदि हम नए मानकों (RFC1349) की ओर मुड़ते हैं, तो सातवें बिट के मूल्य को पहले से ही परिभाषित किया गया है - मूल्य की आवश्यकताएं "लागत" (मौद्रिक समतुल्य) हैं।
और अब, मान लें कि हम यह निर्धारित करना चाहते हैं कि क्या नेटवर्क पर फ़्रेम हैं जिसमें IPS4 हेडर में TOS फ़ील्ड का सातवां बिट सेट है। यह कैसे करना है?इस समस्या को हल करने के लिए, हमें कैलकुलस की द्विआधारी प्रणाली को याद रखना (या सीखना: डी) की आवश्यकता है। एक बाइट में, प्रत्येक बिट का अपना वजन होता है, जो एक से शुरू होता है, और बढ़ता है, दाएं से बाएं, प्रत्येक बार दो से गुणा होता है।

         0 1 2 3 4 5 6 7
      + ----- + ----- + ----- + ----- + ----- + ----- + ----- + ----- +
       |  |  |  |  |  |  |
       |PRECEDENCE | D | टी | आर | सी | 0 |
       | 0 0 0 |  0 |  0 |  0 |  1 |  0 |
       |  |  |  |  |  |  |
      + ----- + ----- + ----- + ----- + ----- + ----- + ----- + ----- +
        १२ 32 ६४ ३२ १६ 64 ४ २ १

यह पता चला है कि हमारे लिए ब्याज की बिट का वजन 2.
क्या है अगर हम टूएस फ़ील्ड के मूल्य की तुलना दो से करते हैं?
ip [1: 1] = 2
क्या हमें इस सवाल का जवाब मिलेगा कि क्या इस हेडर में हमारी कोई दिलचस्पी है? एक तरफ हाँ, लेकिन दूसरी तरफ, नहीं।
उदाहरण के लिए, यदि हमारे पास "लागत" बिट के अलावा, ToS फ़ील्ड में है, तो दूसरे बिट्स एक पर सेट हैं? मान लें कि यह बैंडविड्थ आवश्यकताओं के लिए जिम्मेदार है - "थ्रूपुट"।

         0 1 2 3 4 5 6 7
      + ----- + ----- + ----- + ----- + ----- + ----- + ----- + ----- +
       |  |  |  |  |  |  |
       |PRECEDENCE | D | टी | आर | सी | 0 |
       | 0 0 0 |  0 |  1 |  0 |  1 |  0 |
       |  |  |  |  |  |  |
      + ----- + ----- + ----- + ----- + ----- + ----- + ----- + ----- +
        १२ 32 ६४ ३२ १६ 64 ४ २ १

नतीजतन, इस बाइट का मूल्य अब 2 नहीं होगा, लेकिन 10, और एक साधारण तुलना इस सवाल का जवाब नहीं दे सकती है कि क्या हमारे लिए ब्याज के क्षेत्र में एक निश्चित बिट सेट है।
जिस उत्तर में हम रुचि रखते हैं उसे प्राप्त करने से क्या रोकता है? हम दूसरों के मूल्य से परेशान हैं, संभवतः बिट्स की एक इकाई के लिए भी निर्धारित है। तदनुसार, हमें उनसे छुटकारा पाना चाहिए। इस समस्या को हल करने के लिए, हम बिटवाइज लॉजिकल "एंड" (जिसे कभी-कभी लॉजिकल गुणा कहा जाता है) के ऑपरेशन का उपयोग करते हैं, जो कि प्रतीक द्वारा दर्शाया गया है " और"। जैसा कि आप जानते हैं, लॉजिकल ऑपरेशन “AND” में, आउटपुट केवल एक होगा जब पहला ऑपरेंड और दूसरा दोनों एक के बराबर होंगे। तदनुसार, यदि हम एक विशेष मास्क द्वारा ToS फ़ील्ड के मूल्य का बिटवाइज़ गुणा करते हैं, जिसमें केवल ToS फ़ील्ड में थोड़ी सी भी रुचि की स्थिति एकता के लिए सेट की जाएगी, तो हम परिणाम से अन्य सभी बिट्स को बाहर कर देंगे:

ToS फ़ील्ड: 00001010 = 10
मास्क: 00000010 = 2
परिणाम: 00000010 = 2

इस मुखौटा को लागू करते समय शेष बिट्स का मूल्य जो भी हो, परिणाम केवल हमारे लिए ब्याज के क्षेत्र का मूल्य प्राप्त करेगा। यहां तक ​​कि अगर हम सभी बिट्स को एक में सेट करते हैं, तो यह परिणाम को प्रभावित नहीं करेगा:

ToS फ़ील्ड: 11111111 = 255
मास्क: 00000010 = 2
परिणाम: 00000010 = 2

और केवल अगर हमारे लिए थोड़ा सा ब्याज शून्य है, तो मास्किंग के परिणामस्वरूप, शून्य भी होगा।

ToS फ़ील्ड: 11111101 = 253
मास्क: 00000010 = 1
परिणाम: 00000000 = 0

इस प्रकार, यदि हमारे लिए ब्याज की मात्रा एक के बराबर है, तो मास्किंग के परिणामस्वरूप हम इस बिट का वजन प्राप्त करेंगे, यदि यह शून्य के बराबर है, तो हम शून्य प्राप्त करेंगे।
इसके आधार पर, इस समस्या को हल करने के लिए, हमें निम्नलिखित फ़िल्टर लागू करने की आवश्यकता है:
ip [1: 1] & 2 = 2

यह दूसरी बाइट का मूल्य लेगा, इस पर एक मुखौटा लगाएगा कि एक विशिष्ट बिट के मूल्य को "बाहर निकाल" और इस बिट के वजन के साथ परिणाम की तुलना करें।

हम IP हेडर के प्रकार के सेवा क्षेत्र के विश्लेषण के आधार पर एक और उदाहरण दे सकते हैं: हमें उन सभी फ़्रेमों को देखने की आवश्यकता है जिनमें प्रीसेंस बिट्स (वरीयता) TOS फ़ील्ड में IPv4 हेडर में शून्य के बराबर नहीं हैं। ऐसा करने के लिए, एक मुखौटा लागू करें जिसमें हम उन बिट्स का चयन करते हैं जो पूर्वता के लिए जिम्मेदार हैं:

ToS फ़ील्ड: 10111101 = 189
मास्क: 11100000 = 224
परिणाम: 10100000 = 160

परिणाम शून्य के बराबर नहीं है, और यह इंगित करता है कि वरीयता क्षेत्र भी शून्य के बराबर नहीं है।

ToS फ़ील्ड: 00011111 = 31
मास्क: 11100000 = 224
परिणाम: 00000000 = 0

परिणाम शून्य है, और यह इंगित करता है कि वरीयता क्षेत्र भी शून्य है।

नतीजतन, आईपीवी 4 हेडर में टीओएस क्षेत्र के एक गैर-शून्य मान के लिए जाँच इस तरह दिखाई देगी:
आईपी ​​[1: 1] और 224! = 0
या एक ही बात है, लेकिन हेक्साडेसिमल विकल्प का उपयोग करते हुए:
आईपी ​​[1]: 1] और 0xe0! = 0

पर विचार करें। एक अलग प्रोटोकॉल के साथ उदाहरण। टीसीपी प्रोटोकॉल ले लो।
उदाहरण के लिए, हमें उन सभी फ़्रेमों को पकड़ने की आवश्यकता है जो विकल्पों के साथ टीसीपी सेगमेंट को प्रसारित करते हैं। यह समझने के लिए कि आपको क्या देखने की आवश्यकता है और हम RFC-793 में कहाँ जाते हैं।

  टीसीपी हैडर प्रारूप
     0 1 2 3   
    0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 1 1 
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
    | Source Port | Destination Port |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
    | Sequence Number |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
    | Acknowledgment Number |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
    | Data | |U|A|P|R|S|F|  |
    | Offset| Reserved |R|C|S|S|Y|I| Window |
    |  | |G|K|H|T|N|N|  |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

    | Checksum | Urgent Pointer |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
    | Options | Padding |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
    | data |
   +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

यह निर्धारित करने के लिए कि क्या खंड में विकल्प हैं, "डेटा ऑफसेट" फ़ील्ड का उपयोग किया जाता है, यह चार-शब्द शब्दों में शीर्षक की लंबाई दिखाता है। न्यूनतम टीसीपी खंड हेडर की लंबाई 20 बाइट्स है, जो 5 चार-बाइट शब्द है। तदनुसार, यदि टीसीपी सेगमेंट के हेडर में विकल्प हैं, तो इस फ़ील्ड का मान 5 से अधिक होगा। इस फ़ील्ड
का मान प्राप्त करने के लिए, आपको टीसीपी प्रिमिटिव [12: 1] का उपयोग करना होगा । हालांकि, इस तथ्य को देखते हुए कि न्यूनतम टुकड़ा जो हम ले सकते हैं वह एक बाइट है, और हमें केवल 4 बिट्स की आवश्यकता है, हमें थोड़ा सोचना होगा। Tcp
आदिम [12: 1] को लागू करने पर हमें निम्नलिखित हेडर टुकड़ा मिला:

   + - + - + - + - + - + - + - + - -
    | डाटा |           
    |ऑफसेट | सुरक्षित  
    |  |           
   + - + - + - + - + - + - + - + - -

यदि "डेटा ऑफसेट" फ़ील्ड बाइट के निचले हिस्से में थी, तो बाइनरी प्रतिनिधित्व में "5" संख्या इस तरह दिखाई देगी:

        १२ 32 ६४ ३२ १६ 64 ४ २ १
         ० ० ० ० १ १ ० १ = ५

लेकिन हमारे लिए ब्याज की बिट्स बाईं, छोटी नहीं है, बल्कि दाहिनी ओर, इसके वरिष्ठ भाग में हैं, इसलिए, दशमलव के बराबर पाने के लिए, हम उन्हें बाइट के दाईं ओर स्थानांतरित करते हैं:

        १२ 32 ६४ ३२ १६ 64 ४ २ १
          0 1 0 1 0 0 0 0 = 80 (हेक्साडेसिमल में 0x50)

सबसे महत्वपूर्ण बिट्स का चयन करने के लिए, आपको मास्क लगाना होगा:

डेटा ऑफसेट फ़ील्ड: 01010000 = 80
मास्क: 11110000 = 240
परिणाम: 01010000 = 80

यदि हेडर में अभी भी विकल्प हैं, तो "डेटा ऑफसेट" मान 5 से अधिक होगा। उदाहरण के लिए, यदि हेडर में एक-आठ बाइट विकल्प है, तो इस फ़ील्ड का मान हेडर के निश्चित भाग के 7 (5 चार-बाइट शब्द, और 2 चार-बाइट विकल्प शब्द) होगा:

        १२ 32 ६४ ३२ १६ 64 ४ २ १
         0 0 0 0 0 1 1 1 = 7

संबंधित बिट्स को ऊपरी भाग में स्थानांतरित करना:

        १२ 32 ६४ ३२ १६ 64 ४ २ १
          0 1 1 1 0 0 0 0 = 112 (हेक्साडेसिमल में 0x70)

मास्किंग द्वारा उच्च बिट्स को हाइलाइट करें:

डेटा ऑफसेट फ़ील्ड: 01110000 = 112
मास्क: 11110000 = 240
परिणाम: 01110000 = 112

इस प्रकार, यह पता चला है कि यदि परिणाम 80 से अधिक मूल्य है, तो टीसीपी हेडर में विकल्प हैं। सिद्धांत रूप में, यहां एक मुखौटा लगाने की आवश्यकता नहीं थी, क्योंकि अतिरिक्त बिट अभी भी बेमानी हैं, और हमेशा शून्य होना चाहिए, लेकिन आपको कभी नहीं पता कि क्या बदल सकता है, और फ़िल्टर को फिर से लिखने के लिए नहीं, अगर मानक अचानक बदल जाता है, तो हम उन्हें मास्क के साथ बंद कर देते हैं।
परिणामस्वरूप फ़िल्टर, जो उन टीसीपी खंडों को दिखाएगा जिसमें टीसीपी हेडर की लंबाई 5 चार-बाइट शब्दों से अधिक है, निम्नलिखित है:
tcp [12: 1] & 240! = 80
या
टीसीपी [१२: १] और २४०> :०
या
tcp [12: 1] & 0xf0> 80
इसके अलावा, टीसीपी झंडे के साथ काम करने की संभावना पर विचार करें। उन्हें मुखौटा का उपयोग करके उसी तरह से प्रतिष्ठित किया जा सकता है, लेकिन आप प्रतीकात्मक वर्गीकरण का भी उपयोग कर सकते हैं जो ऊपर दिए गए थे।
उदाहरण के लिए, SYN या फिन के झंडे वाले खंडों को पकड़ने के लिए, आपको निम्नलिखित फ़िल्टर लिखने की आवश्यकता है:
tcp [tcpflags] & (tcp-syn | tcp-fin)! = 0
मुझे लगता है कि यह काफी पठनीय है और इसके लिए किसी विशेष स्पष्टीकरण की आवश्यकता नहीं है।
बिट्स और मास्क के माध्यम से इस तरह के कार्य के कार्यान्वयन से इस तरह के एक फिल्टर प्रारूप को बढ़ावा मिलेगा:
tcp [13: 1] & 2! = 0 या tcp [13: 1] & 1! = 0
विषय की समझ को मजबूत करने के लिए, यह पता लगाने की कोशिश करें कि यह कैसा है! फ़िल्टर विकल्प काम करेगा।

:
ether[0]&1 != 0 .
ether[0] & 1 = 0 and ip [16]>= 244 IP , MAC .
ip[0]&0xf = 5 IP , .
ip[6:2]&0x1fff = 0 IP , .
ip[-3]&0xff = 0x37 IP , MAC «0x37».

बिट ऑपरेशन का एक और दिलचस्प सेट बिट शिफ्ट ऑपरेशन है। ये ऑपरेशन प्रतीकों "तीर की जोड़ी" द्वारा इंगित किए गए हैं: "<<" - बाईं ओर शिफ्ट और ">>" - दाईं ओर शिफ्ट।
वे कैसे काम करते हैं?
एक मनमाना बाइट लें, सादगी के लिए हम एक इकाई लेते हैं, और बाइनरी सिस्टम में इसका मान लिखते हैं:

        १२ 32 ६४ ३२ १६ 64 ४ २ १
          0 0 0 0 0 0 0 1 = 1 है

अब हम बाईं ओर एक बिट शिफ्ट ऑपरेशन करेंगे, सभी बिट्स के मानों को एक स्थिति में स्थानांतरित करेंगे, और शून्य को कम से कम फ्रीस्टाइल बिट में डालेंगे:

        १२ 32 ६४ ३२ १६ 64 ४ २ १
         0 0 0 0 0 0 1 <<

        १२ 32 ६४ ३२ १६ 64 ४ २ १
         0 0 0 0 0 0 0 1 = 2

नतीजतन, बाइट का मूल्य दो के बराबर हो गया, यानी दोगुना हो गया। और एक बार फिर इस ऑपरेशन को लागू करें:

        १२ 32 ६४ ३२ १६ 64 ४ २ १
         0 0 0 0 0 1 0 <<

        १२ 32 ६४ ३२ १६ 64 ४ २ १
         0 0 0 0 0 1 1 0 0 = 4

नतीजतन, बाइट का मूल्य चार के बराबर हो गया, यानी यह फिर से दोगुना हो गया। इस प्रकार, हम यह निष्कर्ष निकाल सकते हैं कि बाईं ओर बिट शिफ्टिंग का संचालन बाइट के मूल्य को दो से गुणा करने के बराबर है (क्योंकि हम बाइनरी सिस्टम के साथ काम करते हैं)।
आइए एक अधिक जटिल संख्या पर इस नियम की वैधता की जांच करें, उदाहरण के लिए, 100। हम इसे द्विआधारी रूप में लिखते हैं:

        १२ 32 ६४ ३२ १६ 64 ४ २ १
          0 1 1 0 0 1 0 0 = 100

और अब हम लेफ्ट शिफ्ट ऑपरेशन करेंगे:

        १२ 32 ६४ ३२ १६ 64 ४ २ १
         1 1 0 0 1 0 0 <<

        १२ 32 ६४ ३२ १६ 64 ४ २ १
         1 1 0 0 1 0 0 0 = 200

नतीजतन, बाइट का मूल्य 200 हो गया - दोगुना हो गया।
तदनुसार, हम तुरंत यह निष्कर्ष निकाल सकते हैं कि दाईं ओर एक बिट शिफ्ट संख्या को दो से विभाजित करने के बराबर है।
उदाहरण के लिए, संख्या 240:

        १२ 32 ६४ ३२ १६ 64 ४ २ १
          1 1 1 1 0 0 0 = 240

चलो दाईं ओर शिफ्ट ऑपरेशन करें:

        १२ 32 ६४ ३२ १६ 64 ४ २ १
         >> 1 1 1 1 0 0 0

        १२ 32 ६४ ३२ १६ 64 ४ २ १
         0 1 1 1 1 0 0 0 = 120

बाइट मूल्य 120 के बराबर हो गया - आधे से कम हो गया।
हम इस ऑपरेशन का उपयोग कैसे कर सकते हैं? आइए याद रखें कि आईपी हेडर का IHL (इंटरनेट हैडर लंबाई) फ़ील्ड हेडर की लंबाई को बाइट्स में नहीं, बल्कि चार-बाइट शब्दों में इंगित करता है, और यह जांचने के लिए कि पैकेट में विकल्प हैं या नहीं, हमने निम्नलिखित ऑपरेशन का उपयोग किया:
ip [0] & 0xf = 5
यही है, उनकी तुलना वास्तविक मूल्य से नहीं की गई थी, लेकिन चार (20 बाइट्स 5 चार-बाइट शब्द हैं) में विभाजित मूल्य के साथ। यदि किसी कारण से यह बाइट्स में हेडर की लंबाई के साथ काम करने के लिए अधिक सुविधाजनक है (उदाहरण के लिए, यदि यह मान बाद में पैकेट की कुल लंबाई से घटाया जाना चाहिए), तो इसे 4 से गुणा किया जाना चाहिए। संख्या को 4 से गुणा करने के लिए, इसे दो से दोगुना करना चाहिए। , अर्थात्, दो बार थोड़ा सा बाईं ओर का ऑपरेशन करें, फिर बाइट्स में आवश्यक लंबे आईपी हेडर के साथ इसकी तुलना करें:
आईपी ​​[0] << 2 = 20

खैर, यह सब समग्र नियम सेट में जोड़ा जा सकता है:
(icmp [icmptype]!) icmp-echo और icmp [icmptype]! = icmp-echoreply) या (udp और udp पोर्ट 67 और ip [16] <224) या (tcp [0: 2] 2) 1024 और tcp [2: 2] <1024)
इस फ़िल्टर के साथ, प्रोग्राम केवल उन फ़्रेमों को कैप्चर करेगा जो तीन विवरणों में से एक को फिट करते हैं:

• इको और इकोरेप्ली (पिंग यूटिलिटी द्वारा प्रयुक्त) को छोड़कर ICMP संदेशों को शामिल करें
• यूडीपी डेटाग्राम प्रेषित होते हैं, सिवाय इसके कि पोर्ट 67 का उपयोग प्रेषक या रिसीवर पोर्ट के रूप में करते हैं, और सिवाय उन लोगों को छोड़कर जो मल्टीकास्ट एड्रेस पर प्रसारित होते हैं और एक सीमित प्रसारण पते पर
• ट्रांसमिट टीसीपी सेगमेंट जिसमें प्रेषक पोर्ट और रिसीवर पोर्ट दोनों "प्रसिद्ध पोर्ट्स" श्रेणी में हैं

4. स्व-परीक्षा कार्य: डी

अपने काम को जटिल कैप्चर फिल्टर के साथ समेकित करने के लिए, यह समझने की कोशिश करें कि यह फ़िल्टर क्या बताता है और कैसे:
tcp पोर्ट 80 और (ip [2: 2] - ip [0] & 0xf << 2 - tcp [12] & 0xf0: 2! = 0) )

नोट :
यह मानक उदाहरणों में से एक है, और यदि आवश्यक हो, तो आप इंटरनेट खोज का उपयोग करके आसानी से अपने आप को जांच सकते हैं, लेकिन फिर भी एक प्रयास करने और अपने आप से निपटने का प्रयास करें।

एक अच्छी सूंघ लो)