wireshark過(guò)濾規(guī)則有哪些

wireshark過(guò)濾規(guī)則有哪些

一、IP過(guò)濾：包括來(lái)源IP或者目標(biāo)IP等于某個(gè)IP

二、端口過(guò)濾：

三、協(xié)議過(guò)濾：tcp

四、包長(zhǎng)度過(guò)濾：

六、連接符 and / or

七、表達(dá)式：!(arp.src==192.168.1.1) and !(arp.dst.proto_ipv4==192.168.1.243)

八、expert.message是用來(lái)對(duì)info信息過(guò)濾，主要配合contains來(lái)使用

使用wireshark常用的過(guò)濾命令

1.過(guò)濾源ip、目的ip。在wireshark的過(guò)濾規(guī)則框Filter中輸入過(guò)濾條件。如查找目的地址為192.168.101.8的包，ip.dst192.168.101.8;查找源地址為ip.src1.1.1.1;

2.端口過(guò)濾。如過(guò)濾80端口，在Filter中輸入，tcp.port80，這條規(guī)則是把源端口和目的端口為80的都過(guò)濾出來(lái)。使用tcp.dstport80只過(guò)濾目的端口為80的，tcp.srcport==80只過(guò)濾源端口為80的包;

3.協(xié)議過(guò)濾比較簡(jiǎn)單，直接在Filter框中直接輸入?yún)f(xié)議名即可，如過(guò)濾HTTP的協(xié)議;

4.http模式過(guò)濾。如過(guò)濾get包，http.request.method==“GET”,過(guò)濾post包，http.request.method==“POST”;

5.連接符and的使用。過(guò)濾兩種條件時(shí)，使用and連接，如過(guò)濾ip為192.168.101.8并且為http協(xié)議的，ip.src==192.168.101.8 and http。

wireshark過(guò)濾器表達(dá)式

1. 關(guān)鍵字

“與”：“eq” 和 “==”等同，可以使用 “and” 表示并且，

“或”：“or”表示或者。

“非”：“!" 和 "not” 都表示取反。

多組條件聯(lián)合過(guò)濾數(shù)據(jù)包的命令，就是通過(guò)每個(gè)單個(gè)的條件命令與關(guān)鍵字“與或非”的組合實(shí)現(xiàn)的。

2. 針對(duì)ip的過(guò)濾

針對(duì)wireshark最常用的自然是針對(duì)IP地址的過(guò)濾。其中有幾種情況：

(1)對(duì)源地址為192.168.0.1的包的過(guò)濾，即抓取源地址滿(mǎn)足要求的包。

表達(dá)式為：ip.src == 192.168.0.1

(2)對(duì)目的地址為192.168.0.1的包的過(guò)濾，即抓取目的地址滿(mǎn)足要求的包。

表達(dá)式為：ip.dst == 192.168.0.1

(3)對(duì)源或者目的地址為192.168.0.1的包的過(guò)濾，即抓取滿(mǎn)足源或者目的地址的ip地址是192.168.0.1的包。

表達(dá)式為：ip.addr == 192.168.0.1,本表達(dá)式的等價(jià)表達(dá)式為

ip.src == 192.168.0.1or ip.dst == 192.168.0.1

(4)要排除以上的數(shù)據(jù)包，我們只需要將其用括號(hào)囊括，然后使用 "!" 即可。

表達(dá)式為：!(表達(dá)式)

3. 針對(duì)協(xié)議的過(guò)濾

(1)僅僅需要捕獲某種協(xié)議的數(shù)據(jù)包，表達(dá)式很簡(jiǎn)單僅僅需要把協(xié)議的名字輸入即可。

表達(dá)式為：http

問(wèn)題：是否區(qū)分大小寫(xiě)?答：區(qū)分，只能為小寫(xiě)

(2)需要捕獲多種協(xié)議的數(shù)據(jù)包，也只需對(duì)協(xié)議進(jìn)行邏輯組合即可。

表達(dá)式為：http or telnet (多種協(xié)議加上邏輯符號(hào)的組合即可)

(3)排除某種協(xié)議的數(shù)據(jù)包

表達(dá)式為：not arp 或者 !tcp

4. 針對(duì)端口的過(guò)濾(視傳輸協(xié)議而定)

(1)捕獲某一端口的數(shù)據(jù)包

表達(dá)式為：tcp.port == 80 (以tcp協(xié)議為例)

(2)捕獲多端口的數(shù)據(jù)包，可以使用and來(lái)連接，下面是捕獲高于某端口的表達(dá)式

表達(dá)式為：udp.port >= 2048 (以u(píng)dp協(xié)議為例)

5. 針對(duì)長(zhǎng)度和內(nèi)容的過(guò)濾

(1)針對(duì)長(zhǎng)度的過(guò)慮(這里的長(zhǎng)度指定的是數(shù)據(jù)段的長(zhǎng)度)

表達(dá)式為：udp.length < 30 http.content_length <=20

(2)針對(duì)數(shù)據(jù)包內(nèi)容的過(guò)濾

表達(dá)式為：http.request.urimatches "vipscu" (匹配http請(qǐng)求中含有vipscu字段的請(qǐng)求信息)

6. 進(jìn)階

通過(guò)以上的最基本的功能的學(xué)習(xí)，如果隨意發(fā)揮，可以靈活應(yīng)用，就基本上算是入門(mén)了。以下是比較復(fù)雜的實(shí)例(來(lái)自wireshark圖解教程)：

tcp dst port3128

顯示目的TCP端口為3128的封包。

ip src host10.1.1.1

顯示來(lái)源IP地址為10.1.1.1的封包。

host 10.1.2.3

顯示目的或來(lái)源IP地址為10.1.2.3的封包。

src portrange2000-2500

顯示來(lái)源為UDP或TCP，并且端口號(hào)在2000至2500范圍內(nèi)的封包。

not imcp

顯示除了icmp以外的所有封包。(icmp通常被ping工具使用)

src host10.7.2.12 and not dst net 10.200.0.0/16

顯示來(lái)源IP地址為10.7.2.12，但目的地不是10.200.0.0/16的封包。

(src host10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net10.0.0.0/8

顯示來(lái)源IP為10.4.1.12或者來(lái)源網(wǎng)絡(luò)為10.6.0.0/16，目的地TCP端口號(hào)在200至10000之間，并且目的位于網(wǎng)絡(luò)10.0.0.0/8內(nèi)的所有封包。

wireshark 如何分析一個(gè)會(huì)話的時(shí)間長(zhǎng)度

把當(dāng)次會(huì)話過(guò)濾出來(lái)，單獨(dú)保存。然后設(shè)置時(shí)間方式為deta類(lèi)型，就可以了。