flags [+]

在网络数据包中，[+] 标志通常是指 TCP 协议中的确认标志（ACK）。当 TCP 报文头中的 ACK 标志位被置为 1 时，表示该数据包是一个确认数据包，确认号字段中的值是有效的，通常用于确认接收到的数据包。

如果要使用 tcpdump 捕获包含 [+] 标志的 TCP 数据包，可以使用以下命令：

tcpdump 'tcp[13] & 16 != 0'

这条命令中，`tcp[13]` 表示 TCP 报文头中的第 14 个字节（第一个字节的编号是 0），即 TCP 标志位字段。其中，ACK 标志对应的二进制位是 0b00010000，即十进制值为 16。因此，`tcp[13] & 16` 表示将 TCP 标志位字段与十六进制值 0x10 进行按位与运算，如果结果不为 0，则说明 ACK 标志被置为 1，即该数据包包含 [+] 标志。最后，使用 `!= 0` 进行判断，即可匹配包含 [+] 标志的 TCP 数据包。