wireshark数据包过滤

原创

qq5dabbc1c941a2 2020-06-16 11:38:25 ©著作权

©著作权归作者所有：来自51CTO博客作者qq5dabbc1c941a2的原创作品，请联系作者获取转载授权，否则将追究法律责任

Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。

通过wireshark抓到的数据包数量可能十分的庞大，这是就要会一些wireshark的多虑语句进行数据包的过滤缩小范围。更加方便进行数据包的分析。

1，通过ip地址 1）source为原ip地址，destination为目标ip地址 ip.src== 192.168.254.134 过滤原ip地址为192.168.254.134的包 ip.dst== 192.168.245.128 过滤原ip地址为192.168.245.128的包 2）两条不同语句之间可以用or和and连接，or只需满足其中之一，and需要全部满足 3）可用!=表达不满足 2、通过协议过滤 1） udp arp icmp http smtp ftp dns msnms ip ssl等 2）可用 !加协议或者not加协议表示排除该协议如： not arp 或!arp 3、http模式过滤过滤http的两个模式get和post http.request.method=="GET",http.request.method=="POST" 4、根据端口过滤主要两种 tcp.port==端口 udp.port==端口 5、包的长度过滤 udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和 tcp.len >= 7 指的是ip数据包(tcp下面那块数据),不包括tcp本身 ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后 frame.len == 119 整个数据包长度,从eth开始到最后 6、在info中有个response字段可通过这个判断登录成功与失败等如ftp contains "220" ftp contains "success" 过滤出ftp登录成功的数据包 7、可以对过滤出的数据包右键在follow中有tcp stream udp stream 等，通过这个可以跟踪到有关联的数据包，并把他们显示在一起方便信息查看。 8、通过指定网关过滤抓包 gateway host 通过制定host 作为网关包。也就是说，以太网源地址或目标地址是 host ，但 ip 地址和目标ip地址都不是host 的包 9、通过指定子网掩码过滤抓包 [src|dst] net <net> [{mask<mask>}|{len <len>}] 10、按包大小过滤 less|greater <length> 过滤包的大小长度选择长度符合要求的包。