tcpdump通过tcp[tcpflags]伪字段匹配TCP标志位，如tcp[tcpflags] & tcp-syn != 0匹配SYN包；精确匹配“仅SYN”需组合条件：tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack == 0 and tcp[tcpflags] & tcp-fin == 0 and tcp[tcpflags] & tcp-rst == 0。
tcpdump 怎么匹配 TCP 标志位（SYN/ACK/FIN/RST）
直接用 tcp[12:1] 提取 TCP 头偏移 12 字节的 1 字节数据（即 TCP 偏移 + 保留字段），再用 & 位与操作提取目标标志位。TCP 标志在第 13 字节（索引 13，但 tcp[] 从 0 开始计数，所以是 tcp[13:1]），不是第 12 字节——这是最常踩的坑。
正确做法：TCP 头长度由 tcp[12:1] 的高 4 位决定（单位是 4 字节），所以标志位实际起始位置是 (tcp[12:1] & 0xf0) >> 2，但 tcpdump 不支持复杂表达式；它内置了简写：tcp[tcpflags] 是专门用来访问标志位的伪字段，比手动计算偏移安全得多。
-
tcp[tcpflags] & tcp-syn != 0匹配含 SYN 标志的报文（包括 SYN、SYN-ACK、SYN-FIN 等） -
tcp[tcpflags] & tcp-ack != 0匹配任意带 ACK 的包（注意：三次握手中的 ACK、数据传输中的 ACK、RST+ACK 都会命中） - 要精确匹配「仅 SYN」（即 SYN=1, ACK=0, FIN=0, RST=0），得组合排除：
tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack == 0 and tcp[tcpflags] & tcp-fin == 0 and tcp[tcpflags] & tcp-rst == 0
捕获典型扫描行为：SYN 扫描（半连接扫描）
SYN 扫描最核心特征是只发 SYN、不完成三次握手，因此目标端口若开放，会回 SYN-ACK；若关闭，则回 RST。攻击者通常不会发 ACK 响应，所以本地发出的 SYN 包里 tcp-ack 一定为 0。
抓这类包，重点过滤「本机发出的、纯 SYN、目的端口在常见服务范围」：
- 假设本机 IP 是
192.168.1.100，命令：tcpdump -i eth0 'src host 192.168.1.100 and tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack == 0 and dst portrange 1-1000' - 如果不知道源 IP，且只想看疑似扫描的主动 SYN（非响应），可加
and not dst port 22 and not dst port 80排除已知合法连接目标，避免噪音 - 注意：
portrange匹配的是端口号，不是协议号；tcp[tcpflags]只对 TCP 协议有效，无需额外写tcp协议过滤（但写了也不错）
区分 FIN/XMAS/NULL 扫描的关键位组合
FIN 扫描发 FIN 包（无 SYN/ACK），XMAS 扫描同时置 FIN/URG/PSH，NULL 扫描所有标志清零——这些都依赖精准的位运算逻辑，不能只靠单个标志判断。
- FIN 扫描（常见于绕过防火墙）：
tcp[tcpflags] & tcp-fin != 0 and tcp[tcpflags] & tcp-syn == 0 and tcp[tcpflags] & tcp-ack == 0 - XMAS 扫描（三标志全开）：
tcp[tcpflags] & (tcp-fin|tcp-urg|tcp-psh) == (tcp-fin|tcp-urg|tcp-psh)—— 注意这里必须用==确保三者都为 1，不能用!= 0 - NULL 扫描（全零）：
tcp[tcpflags] == 0—— 这是最简洁也最易被识别的特征 - 实际中建议加
and src host X.X.X.X限定可疑源，否则内网广播或本地异常进程也可能触发误报
为什么抓不到？权限、接口和时序问题
即使语法全对，也可能抓空——根本原因往往不在过滤表达式本身。
- 没用
sudo或没加-Z切换到 root，普通用户无法访问原始套接字，tcpdump会静默失败或只显示部分包 - 指定的网卡名错误（比如用了
lo却想抓外网流量），用ip link show确认真实接口名，别信eth0这种旧命名 - 扫描行为转瞬即逝，没加
-w file.pcap保存而只靠屏幕滚动，容易漏掉关键几帧；建议先写盘再用 Wireshark 分析标志位分布 - 某些容器或 network namespace 中的流量，需进入对应 namespace 运行
tcpdump，宿主机默认看不到
真正难的不是写出匹配 SYN 的表达式，而是确认你监听的位置能触达那个包——它可能在网卡进来的路上就被 iptables DROP 了，也可能在上层被 socket filter 拦截了，tcpdump 在链路层之下，看不到那些“从未到达网络栈”的丢弃动作。
