libpcap 中传出数据包的正确过滤器表达式

Question

我只想从我的系统中嗅探传出的“TCP-ACK”数据包。因此，我在 lib-pcap 程序中将过滤器表达式设置为:

char filter_exp[] = "src host 172.16.0.1 and tcp[tcpflags] & (tcp-syn | tcp-fin | tcp-rst | tcp-psh) == 0";

但它在运行时显示 lib-pcap 语法错误:

Couldn't parse filter src host 172.16.0.1 and tcp[tcpflags] and (tcp-syn | tcp-fin | tcp-rst | tcp-psh) == 0: syntax error

有人能告诉我这里出了什么问题以及正确的过滤器表达式是什么吗？

我从 here 获取了语法(在示例部分中。)。

Answer 1

语法不正确，因为 tcp-psh 不是有效语法。正确的是tcp-push。所以正确的过滤表达式是:

char filter_exp[] = "src host 172.16.0.1 and tcp[tcpflags] & (tcp-syn | tcp-fin | tcp-rst | tcp-push) == 0";