Wireshark简明教程

正如您在Wireshark教程第一部分看到的一样，安装、运行Wireshark并开始分析网络是非常简单的。

使用Wireshark时最常见的问题，是当您使用默认设置时，会得到大量冗余信息，以至于很难找到自己需要的部分。
过犹不及。

这就是为什么过滤器会如此重要。它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。

- -	捕捉过滤器：用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。 显示过滤器：在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。

那么我应该使用哪一种过滤器呢？

两种过滤器的目的是不同的。
捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。
显示过滤器是一种更为强大（复杂）的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。

两种过滤器使用的语法是完全不同的。我们将在接下来的几页中对它们进行介绍：

---

                       1. 捕捉过滤器             2. 显示过滤器

---

1. 捕捉过滤器

捕捉过滤器的语法与其它使用Lipcap（Linux）或者Winpcap（Windows）库开发的软件一样，比如著名的TCPdump。捕捉过滤器必须在开始捕捉前设置完毕，这一点跟显示过滤器是不同的。

设置捕捉过滤器的步骤是：
- 选择 capture -> options。
- 填写"capture filter"栏或者点击"capture filter"按钮为您的过滤器起一个名字并保存，以便在今后的捕捉中继续使用这个过滤器。
- 点击开始（Start）进行捕捉。

语法：

Protocol

Direction

Host(s)

Value

Logical Operations

Other expression

例子：

tcp

dst

10.1.1.1

80

and

tcp dst 10.2.2.2 3128

Protocol（协议）:
可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.
如果没有特别指明是什么协议，则默认使用所有支持的协议。

Direction（方向）:
可能的值: src, dst, src and dst, src or dst
如果没有特别指明来源或目的地，则默认使用 "src or dst" 作为关键字。
例如，"host 10.2.2.2"与"src or dst host 10.2.2.2"是一样的。
Host(s):
可能的值： net, port, host, portrange.
如果没有指定此值，则默认使用"host"关键字。
例如，"src 10.1.1.1"与"src host 10.1.1.1"相同。

Logical Operations（逻辑运算）:
可能的值：not, and, or.
否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级，运算时从左至右进行。
例如，
"not tcp port 3128 and tcp port 23"与"(not tcp port 3128) and tcp port 23"相同。
"not tcp port 3128 and tcp port 23"与"not (tcp port 3128 and tcp port 23)"不同。

---

例子：

tcp dst port 3128

显示目的TCP端口为3128的封包。

ip src host 10.1.1.1

显示来源IP地址为10.1.1.1的封包。

host 10.1.2.3

显示目的或来源IP地址为10.1.2.3的封包。

src portrange 2000-2500

显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。

not imcp

显示除了icmp以外的所有封包。（icmp通常被ping工具使用）

src host 10.7.2.12 and not dst net 10.200.0.0/16

显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。

(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8

显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络10.0.0.0/8内的所有封包。

---

注意事项：

当使用关键字作为值时，需使用反斜杠“\”。
"ether proto \ip" (与关键字"ip"相同).
这样写将会以IP协议作为目标。

"ip proto \icmp" (与关键字"icmp"相同).
这样写将会以ping工具常用的icmp作为目标。

可以在"ip"或"ether"后面使用"multicast"及"broadcast"关键字。
当您想排除广播请求时，"no broadcast"就会非常有用。

---

查看 TCPdump的主页以获得更详细的捕捉过滤器语法说明。
在Wiki Wireshark website上可以找到更多捕捉过滤器的例子。

返回页面顶部

---

2. 显示过滤器：

通常经过捕捉过滤器过滤后的数据还是很复杂。此时您可以使用显示过滤器进行更加细致的查找。
它的功能比捕捉过滤器更为强大，而且在您想修改过滤器条件时，并不需要重新捕捉一次。

语法：

Protocol

.

String 1

.

String 2

Comparison operator

Value

Logical Operations

Other expression

例子：

ftp

passive

ip

==

10.2.3.4

xor

icmp.type

Protocol（协议）:

您可以使用大量位于OSI模型第2至7层的协议。点击"Expression..."按钮后，您可以看到它们。
比如：IP，TCP，DNS，SSH





您同样可以在如下所示位置找到所支持的协议：





Wireshark的网站提供了对各种 协议以及它们子类的说明。

String1, String2 (可选项):

协议的子类。
点击相关父类旁的"+"号，然后选择其子类。



Comparison operators （比较运算符）:

可以使用6种比较运算符：

英文写法：	C语言写法：	含义：
eq	==	等于
ne	!=	不等于
gt	>	大于
lt	<	小于
ge	>=	大于等于
le	<=	小于等于

Logical expressions（逻辑运算符）:

英文写法：	C语言写法：	含义：
and	&&	逻辑与
or	||	逻辑或
xor	^^	逻辑异或
not	!	逻辑非

被程序员们熟知的逻辑异或是一种排除性的或。当其被用在过滤器的两个条件之间时，只有当且仅当其中的一个条件满足时，这样的结果才会被显示在屏幕上。
让我们举个例子：
"tcp.dstport 80 xor tcp.dstport 1025"
只有当目的TCP端口为80或者来源于端口1025（但又不能同时满足这两点）时，这样的封包才会被显示。

---

例子：

snmp || dns || icmp

显示SNMP或DNS或ICMP封包。

ip.addr == 10.1.1.1

显示来源或目的IP地址为10.1.1.1的封包。

ip.src != 10.1.2.3 or ip.dst != 10.4.5.6

显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3以外任意；目的IP：任意
以及
来源IP：任意；目的IP：除了10.4.5.6以外任意

ip.src != 10.1.2.3 and ip.dst != 10.4.5.6

显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3以外任意；同时须满足，目的IP：除了10.4.5.6以外任意

tcp.port == 25

显示来源或目的TCP端口号为25的封包。

tcp.dstport == 25

显示目的TCP端口号为25的封包。

tcp.flags

显示包含TCP标志的封包。

tcp.flags.syn == 0x02

显示包含TCP SYN标志的封包。

如果过滤器的语法是正确的，表达式的背景呈绿色。如果呈红色，说明表达式有误。

	表达式正确
	表达式错误

您可以在Wireshark官方网站或Wiki Wireshark website上找到关于显示过滤器的补充信息。

 

Wireshark提供了大量不同的统计工具供您使用和参考。您可以通过点击屏幕顶部的"statistics"标签找到它们。

我们将会在下面举例说明：

---

	综合 协议层 会话 节点 输入输出图 会话列表 节点列表 服务响应时间
	RTP SIP VoIP Calls   目的地 流量图 HTTP IP地址 封包长度 端口类型

---

综合

在综合窗口里可以看到全局的统计信息：
- 保存捕捉结果的文件
- 捕捉时间
- 捕捉过滤器的信息。
- 显示过滤器的信息。



返回页面顶部

---

协议层

显示按照OSI layer分类后的统计数据。



返回页面顶部

---

会话

如果您使用的是TCP/IP协议或者基于此技术的应用，那么这一页将会有四个标签：Ethernet，IP，TCP以及UDP。“会话”是指两台主机之间进行的交互。
每种协议后面会有一个数字，这个数字表示的是使用这种协议的会话总数。比如说： "Ethernet:6"。

Ethernet 会话：



IP会话：



TCP会话：



UDP会话：



返回页面顶部

---

节点

这一项提供了每个节点接收和发送数据的统计信息。
每一种协议后面的数字指的是使用这种协议的节点数量。例如："Ethernet:6"。

Ethernet节点：



IP节点：



TCP节点：



UDP节点：



返回页面顶部

---

输入输出图

在这一项中，您可以生成一些简单的输入输出图。
您还可以通过添加显示过滤器而生成新的图表，并将他们绘制在一起进行比较。
在下面的例子中，我们同时生成了"tcp"和"http"数据的图表。



返回页面顶部

---

会话列表

这里提供的信息与"会话"一节中相同。

返回页面顶部

---

节点列表

这里提供的信息与"节点"一节中相同。

返回页面顶部

---

服务响应时间

在这一部分，您可以查看13种协议的详细信息。
在下面的例子中，我们选择了运行于NetBIOS协议（参见协议层）之上的SMB(Server Message Block)作为观察对象。它通常被用于Microsoft Windows中的文件共享。



SMB过滤器中显示的是Wireshark显示过滤器。
在下面的例子中，我们没有使用任何过滤器。





返回页面顶部

---

RTP

RTP (Real-time Transport Protocol, RFC 3550)是一种用于在IP网络上传送声音和视频的协议。它运行在User Datagram Protocol (UDP)的上层。
它经常与SIP或H.323组合使用。

显示所有的流





流分析







返回页面顶部

---

SIP

SIP (Session Initiation Protocol, RFC 3261)是一种信令协议，用于建立VoIP或视频会话。
它通常与RTP一起工作，后者用于传输多媒体数据。





返回页面顶部

---

VoIP呼叫

总的来说，VoIP (Voice over IP)使用两类协议：
- 信令协议。如SIP或H.323
- 传输协议。如RTP





返回页面顶部

---

目的地址

这一部分统计了所有捕获封包的目的地址。





返回页面顶部

---

数据流

这一部分提供了对TCP连接的持续（序列）分析。
在下面的例子中，我们创建了一个显示过滤器，使查询结果中仅包含有关openmaniak.com网站的内容。



最前面三行分别显示了"SYN"，"SYN ACK"及"ACK"形式的TCP连接。




返回页面顶部

---

HTTP

HTTP (Hypertext Transfer Protocol)是一种用于客户端-服务器通信的协议。它通常被用来传送HTML文件。
大多数情况下，HTTP客户端就是网页浏览器。当浏览器向已知的（用户填入的）URL发送HTTP请求后，对应Web服务器也会用HTTP作为回应，并发回客户端所请求的网页。

这一节下面有三个子项：
- 流量分布
- 封包计数器
- 应答

流量分布：



在下面的例子里，我们创建了一个显示过滤器，使查询结果中仅包含有关openmaniak.com网站的内容。





封包计数器：

显示HTTP请求和响应。



在下面的例子里，我们创建了一个显示过滤器，使查询结果中仅包含有关openmaniak.com网站的内容。





应答：

显示从Web服务器取得的文件。



在下面的例子中，我们创建了一个显示过滤器，使查询结果中仅包含有关openmaniak.com网站的内容。





返回页面顶部

---

IP地址

统计封包的来源或目的IP地址。





返回页面顶部

---

封包长度





返回页面顶部

---

端口类型

显示TCP或UDP端口的统计数据。



 

 

 

• 赞
• 收藏
• 评论
• 分享
• 举报

上一篇：acl中in和out的区别

下一篇：华为交换机端口镜像配置

提问和评论都可以，用心的回复会被更多人看到 评论

发布评论

全部评论 () 最热 最新

相关文章

• PythonQt简明教程

  PythonQt简明教程PythonQt是Qt框架的Python动态绑定，是一种将Python脚本语言嵌入C++ Qt应用程序的简便方法。与PyQt、PySide不同，PythonQt侧重点在于将Python嵌入到现有的C++应用程序，而不是使用Python编写应用程序。接口PythonQt的主要接口通过PythonQt::self()单例提供，并由PythonQt::init()初始化。

  Python Qt PythonQt
• shell脚本简明教程

  一、Shell应用场景01Shell能做什么      将一些复杂的命令简单化(平时我们提交一次github代码可能需要很多步骤，但是可以用Shell简化成一步)    可以写一些脚本自动实现一个工程中自动更换最新的sdk(库)    自动打包、编译、发布等功

  Shell 运算符 子程序
• Linux wireshark抓包命令

  安装yum install wireshark使用tshark -f 'udp dst port 5062 or udp dst port 7100' -w 1.pcap-f  过滤2个目标端口，目标端口可以是本机端口或他机端口。-w 保存到文件

  wireshark tshark
• sed 简明教程

  用s命令替换我使用下面的这段文本做演示：$ cat pets.txtThis is my cat my cat's name is bettyThis is my dog my dog's name is frankThis is my fish my fish's name is georgeThis is my goat my goat's name is adam把其

  awk fish sed bc
• AWK 简明教程

  这篇文章出自陈皓老师的手笔 : AWK简明教程我从netstat命令中提取了如下信息作为用例：$ c Statetcp 0 0 0.0.0.0:3306 0.0.0.0:*

  awk linux unix 分隔符 字段
• Xapian 简明教程

  Xapian   虾片 慢慢学习吧

  xapian教程
• ant简明教程

  一、ant关键元素1. project元素    project 元素是 Ant 构件文件的根元素， Ant 构件文件至少应该包含一个 project 元素，否则会发生错误。在每个 project 元素下，可包含多个 target 元素。接下来向读者展示一下 project 元素的各属性。1) name 属性    用于指定 project 元素的名称。2)

  xml sed java
• Appium 简明教程

  fnng/p/4540731.html Appium 官网：http://appium...

  Android iOS 移动端
• svn简明教程

  SVN简明课程1. 版本控制介绍1.1. 什么是版本控制版本控制系统用于保存编写开发应用程序时的文档的各个修订版（revision）。 版本控制也称作Revision Control System(RCS)。 名词解释： 修订版（revision）：可以认为是某个文件在其生命周期内各个保存的快照，每个快照和一个时间区间对应。 版本库（Repository）：存放修订版的数据库 本地工作拷贝（Loc

  SVN subversion Eclipse 应用服务器 CVS
• Jenkins简明教程

      Jenkins是一个开源软件项目，是基于Java开发的一种持续集成工具，用于监控持续重复的工作，旨在提供一个开放易用的软件平台，使自动化测试的持续集成变成可能，包括自动构建，构建完成后发邮件，发邮件的条件等等，今天我们就来一起了解一下Jenkins，废话不多说，搞起来吧~1、安装Jenkins第一种安装方法: 在网上下载Jenkins的安装包http:/

  持续集成 tomcat 环境变量
• kubernetes简明教程

  Kubernetes简明教程作为一名经验丰富的开发者，我将向你详细介绍Kubernetes（简称K8S）的关键概念和使用方法。Kubernetes是一个开源的容器编排平台，用于自动化应用程序的部署、扩展和管理。它提供了一种容器化应用程序的解决方案，使开发者可以更轻松地构建、交付和运行应用程序。下面是我们使用Kubernetes的步骤总结：步骤 | 描述---------

  Pod 应用程序 Docker
• PlantUML 简明教程

  PlantUML 简介PlantUML 是一个开源项目，支持快速绘制时序图、用例图、类图、活动图、

  时序图 github 开发者社区
• python简明教程下载 python简明教程中文pdf

  下载地址：网盘下载 内容简介 Python是一种面向对象、解释型计算机程序设计语言，其应用领域非常广泛，包括数据分析、自然语言处理、机器学习、科学计算以及推荐系统构建等。 本书用Python语言来讲解算法的分析和设计。本书主要关注经典的算法，但同时会为读者理解基本算法问题和解决问题打下很好的基础。全书共11章。分别介绍了树、图、计数问题、归纳递归、遍历、分解合并、贪心算法、复杂依赖、Dijk

  python简明教程下载 python 数据结构与算法 人工智能 Python
• SqlLite 简明教程

  SQL DML 和 DDL 可以把 SQL 分为两个部分：数据操作语言 (DML) 和 数据定义语言 (DDL)。 注:"--"双减号为行注释 SQL (结构化查询语言)是用于执行查询的语法。但是 SQL 语言也包含用于更新、插入和删除记录的语法。 查询和更新指令构成了 SQL 的 DML ...

  字段 sql 表名 数据 字符串
• lxml简明教程

  最近要做下微信爬虫，之前写个小东西都是直接用正则提取数据就算了，如果需要更稳定的提取数据，还是使用 xpath 定位元素比较可靠。周末没事，从爬虫的角度研究了一下 python xml 相关的库。Python 标准库中自带了 xml 模块，但是性能不够好，而且缺乏一些人性化的 API，相比之下，第三方库 lxml 是用 Cython 实现的，而且增加了很多实用的功能，可谓爬虫处理网页数据的一件

  xml html 数据 字符串 子节点
• Git 简明教程

     

  git
• JsonPath简明教程

  本文学习了使用 JsonPath 语法从 Json 数据中查找所需元素和数据的基本用法。有一进一，积少成多！ ...

  jsonpath 数据查询 JSON json 数组
• python 简明教程

  第一个源程序#!/usr/bin/python# Filename : helloworld.pyprint'Hello world'执行：$ python helloworld.py或者$ ./helloworld.py因为系统知道它必须用源文件第一行指定的那个解释器来运行程序字面值常量：'Thi...

  python 标识符 默认参数 字符串 缩进
• Mockito 简明教程

  什么是 Mock 测试 Mock 测试就是在测试过程中，对于某些不容易构造（如 HttpServletRequest 必须在Servlet 容器中才能构造出来）或者不容易获取比较复杂的对象（如 JDBC 中的ResultSet 对象），用一个虚拟的对象（Mock 对象）来创建以便测试的测试方法。 M

  Mockito 简明 教程 java 自定义
• vim简明教程

  vim的学习曲线相当的大（参看各种文本编辑器的学习曲线），所以，如果你一开始看到的是一大堆VIM的命令分类，你一定会对这个编辑器失去兴趣的。下面的文章翻译自《Learn Vim Progressively》，我觉得这是给新手最好的VIM的升级教程了，没有列举所有的命令，只是列举了那些最有用的命令。非

  vi 工具 vim 分屏 字符串