Wireshark过滤规则使用


一、      MAC地址过滤

命令汇总:

eth.addr==20:dc:e6:f3:78:cc

eth.src==20:dc:e6:f3:78:cc

eth.dst==20:dc:e6:f3:78:cc


1、根据MAC地址进行筛选

使用命令:eth.addr==20:dc:e6:f3:78:cc

命令解说:筛选出MAC地址是20:dc:e6:f3:78:cc的数据包,包括源MAC地址或者目的MAC地址使用的是20:dc:e6:f3:78:cc的全部数据包。

wKiom1cd7HGDVuiSAAFlRge7ov4357.gif

2、根据源MAC地址筛选

使用命令:eth.src==20:dc:e6:f3:78:cc

命令解说:筛选出源MAC地址是20:dc:e6:f3:78:cc的数据包

wKiom1cd7NPCQy9SAAGAhuK34VY789.gif

3、根据目的MAC地址筛选

使用命令:eth.dst==20:dc:e6:f3:78:cc

命令解说:筛选出目的MAC地址是20:dc:e6:f3:78:cc的数据包。

wKioL1cd7cDQ1PuPAAFRC5G_tOo369.gif

二、      IP地址过滤

 

ip.addr==192.168.1.122                 //根据IP地址筛选,包括源ip或者目的IP

ip.src==192.168.1.122                 //根据源IP地址筛选

ip.dst==192.168.1.122                //根据目的IP地址筛选

 

 

1、根据IP地址进行筛选

使用命令:ip.addr==192.168.1.122

命令解说:筛选出IP地址是192.168.1.122的数据包,包括源IP地址或者目的IP地址使用的是192.168.1.122的全部数据包。

wKiom1cfLf_QddjMAAFnbHitdOw113.gif


2、根据源IP地址筛选

使用命令:ip.src==182.254.110.91

命令解说:筛选出源IP地址是182.254.110.91的数据包

wKiom1cfLg-BHxfCAADAYS9ch3w026.gif


3、根据目的IP地址筛选

使用命令:ip.dst==192.168.1.122

命令解说:筛选出目的地址是192.168.1.122的数据包。

wKioL1cfLuahdY1uAAG9tRwxrKo955.gif

三、      端口过滤

端口过滤。如过滤80端口,在Filter中输入,tcp.port==80,这条规则是把源端口和目的端口为80的都过滤出来。使用tcp.dstport==80只过滤目的端口为80的,tcp.srcport==80只过滤源端口为80的包;

 

tcp.port==80                  //根据TCP端口筛选数据包,包括源端口或者目的端口

tcp.dstport==80               //根据目的TCP端口筛选数据包。

tcp.srcport==80               //根据源TCP端口筛选数据包。

udp.port==4010              //根据UDP端口筛选数据包,包括源端口或者目的端口

udp.srcport==4010            //根据源UDP端口筛选数据包。

udp.dstport==4010           //根据目的UDP端口筛选数据包。

 

 

 

1、筛选TCP端口

使用命令:tcp.port==80

命令解说:筛选出TCP端口是80通信的数据包,包括源端口使用TCP 80或者目的端口使用tcp 80端口的数据包。

wKioL1cfL2qh15eXAAW8XJBuzyk229.jpg


2、筛选目的端口数据包

使用命令:tcp.dstport==80

命令解说:筛选出目的端口使用的是TCP 80通信的数据包

wKiom1cfLrTCS449AAKBJm5peFg428.jpg



3、筛选源端口数据包

使用命令:tcp.srcport==80

命令解说:筛选出源端口是采用tcp 80端口的数据包。

wKioL1cfL6iide9gAAMiekzBvBg897.jpg


四、    协议筛选

根据通讯协议进行筛选数据包,例如http协议、ftp协议等等。常用协议有下:

 

udp

tcp

arp

icmp

smtp

pop

dns

ip

ssl

http

ftp

telnet

ssh

rdp

rip

ospf

 

 

 

 

1、筛选出http协议数据包

协议筛选相对来说比较简单,直接在过滤窗口(filter)输入协议即可。例如筛选出http协议的数据如下图:

注意:在进行协议筛选的时候,协议名称一定要写成小写,否则会出错的。

wKioL1cfL7-gXWX7AALIAzfyRiU137.jpg


2、筛选出httpGET数据包

使用命令:http.request.method==GET

命令解说:筛选出http协议采用get方式的数据包。注意GET一定要写成大写,否则筛选不出来的。

wKiom1cfLwfQt-UfAAKQoPWfYyY884.jpg


3、筛选出http的POST数据包。

使用命令: http.request.method==POST

命令解说:筛选出采用http协议的post方式的数据包,注意POST参数一定要写成大写的,否则筛选不出来数据。

wKiom1cfLxijLzshAATWFlQ1b-s935.jpg


五、逻辑条件组合筛选

逻辑表达式汇总:

||                                 //逻辑或

&&                               //逻辑与

!                                    //逻辑非

 

1、逻辑与筛选方法

使用命令:ip.src==192.168.1.122&&ip.dst==121.114.244.119

命令解说:筛选出源ip地址是192.168.1.122并且目的地址是121.114.244.119的数据包。在使用的时候也可以用括号进行包含区分,上面的命令也可以等价于以下命令

ip.src==192.168.1.122&&ip.dst==121.114.244.119

wKiom1cfL13w3gZQAAGkYVvgR5o644.jpg


2、逻辑或筛选

使用命令:ip.src==192.168.1.122||ip.src==182.254.110.91

命令解说:筛选出源IP地址是192.168.1.122或者源ip地址是182.254.110.91的数据包

wKioL1cfMDPw7dVrAAKmfoGrfPo167.jpg


3、逻辑非筛选

使用命令:!(ip.addr==192.168.1.122)

命令解说:筛选出不是192.168.1.122的数据包。

wKioL1cfMEPDoGyxAAJzfObgWsA537.jpg