在 pyshark 中使用两个 bpf 过滤器答案

【问题标题】：Use Two bpf filter in pyshark在 pyshark 中使用两个 bpf 过滤器
【发布时间】：2022-01-16 18:04:52
【问题描述】：

我可以在 pyshark 中使用两个 bpf 过滤器吗？例如，

pyshark.LiveCapture(interface = 'wlo2', bpf_filter = 'arp and dhcp')

是否有可能或有什么方法可以同时使用 2 个过滤器？

【问题讨论】：

【解决方案1】：

您必须自己将 BPF 过滤器与 and 或 or 结合使用。一次捕获只能激活一个 BPF 过滤器。

在您的示例中，过滤器将匹配 ARP 和 DHCP 的数据包，但这不是可以存在的组合。 ARP 是以太网中的链路层协议，而 DHCP 是建立在 IPv4/IPv6 和 UDP 之上的。

要匹配 ARP 或 DHCP，只需执行 arp or dhcp。要组合更精细的过滤器，请使用括号进行分组，例如 (arp and ether host 01:02:03:04:05:06) or (dhcp and host 192.168.0.1)。

我发现使用 BPF 过滤器（快速）在内核级别粗略预选数据包更容易，然后使用额外的显示过滤器进行更慢但更灵活的最终过滤。

【讨论】：