WireShark学习笔记(二)数据包过滤
来源:互联网 发布:java打印三角形思路 编辑:程序博客网 时间:2024/06/11 17:12
WireShark有捕获过滤器和显示过滤器两种过滤器,捕获过滤器可以在捕获数据包的时候就进行过滤,使得捕获的时候只进行过滤的数据捕获。显示过滤器在显示的时候进行过滤,使得显示的时候将捕获到的数据进行显示。
这两种过滤方式的优势显而易见,第一种可以减少捕获的数据包数量,从而减少系统的负荷。第二种可以捕获更多的数据包,只是在显示的时候过滤,这样可以在以后的分析中如果需要其他数据信息的话可以直接更改显示过滤规则将其他的数据包找到。
一、捕获过滤器
打开捕获过滤器的方法是:点击Capture –>Interfaces,选择好网卡之后点击Option按钮在Capture Filtera旁边的输入框里就可以输入表达式了。
1、基本语法
由限定词后跟一个ID名字或数字组成一个原语,一个表达式可以包含多个原语。例如:dst host 192.168.0.1 && tcp port 80中dst host 192.168.0.1组成一个原语,dst和host 是这个原语中的限定词192.168.0.1是ID,&&是操作符,tcp port 80又组成一个原语,tcp和port是这个原语 的限定词,80是ID,整个语句组成一个表达式。
2、BPF限定词
3、逻辑运算符
- 连接运算符:与(&&)
- 选择运算符:或(||)
- 否定运算符:非(!)
4、主机名和地址过滤器
WireShark可以根据主机的属性进行过滤,包括MAC地址、IPV4、IPV6或者DNS主机名配置等过滤规则,如下例子:
- 根据IPv4过滤:host 192.168.0.1
- 根据IPv6过滤:host fe80::be30:7dff:fea0:5a6f
- 根据MAC地址过滤:ether host 00-1a-a0-52-e2-a0
- 根据流出传输方向过滤:src host 192.168.0.1
- 根据流入传输方向过滤:dst 192.168.0.1(host限定词可以省略)
5、端口过滤
WireShark不但可以通过主机过滤还可以通过端口过滤,端口过滤通常被用来过滤使用已知端口的服务和应用。比如我们可以监控捕获80(标准HTTP协议)端口的流量
port 80
6、协议和协议域过滤
协议过滤器可以帮助我们进行相应协议的过滤,只抓取相应协议或除这些协议的数据包,例如:
icmp (抓取icmp协议数据包)
!ip6 (抓取除ipv6协议以外的数据包)
协议域过滤器是用来对数据包某一个区域的数据进行过滤,比如要过滤icmp数据包的最开头位置(偏移量为0)的数值是不是3:
icmp[0] == 3
如果需要过滤从最开头向后偏移两个字节的数据只需要有:分割,之前写偏移位置,之后写偏移量即可。例如查看icmp数据包中从最开头向后偏移2个字节的数据是不是0x0301:
icmp[0:2] == 0x0301
7、常用捕获过滤器总结:
二、显示过滤器
显示过滤器在WireShark的主界面左上角的Filter按钮旁边,WireShark也提供了强大图形支持,可以点击Expression按钮进行选择表达式。同样,我们也可以输入表达式来进行过滤。显示过滤器语法、运算符等和捕获过滤器还有一定的差别。
显示过滤器的语法也很简单,支持比较运算符。例如现在要查看长度小于128字节的数据只需要输入frame.len < 128即可。
1、比较操作运算符一览:
2、逻辑运算符一览表
3、常用显示过滤器
- WireShark学习笔记(二)数据包过滤
- wireshark过滤数据包
- Wireshark 数据包过滤规则
- wireshark学习笔记(二)
- Wireshark-数据包过滤和分析
- (二)wireshark入门教程---学习笔记
- WireShark抓包过滤(二层)
- wireshark过滤抓取到的数据包
- 用wireshark过滤特定主机数据包
- wireshark捕获/过滤指定ip地址数据包
- wireshark http数据包过滤条件列表
- wireshark捕获/过滤指定ip地址数据包
- Wireshark过滤规则之:http数据包
- wireshark捕获/过滤指定ip地址数据包
- Wireshark过滤规则之:http数据包
- wireshark捕获/过滤指定ip地址数据包
- wireshark捕获/过滤指定ip地址数据包
- wireshark捕获/过滤指定ip地址数据包
- 替换空格
- tp手册验证码纠错
- C++知识点 内存占用问题
- Host key verification failed.
- BestCoder Round #84 1002 Bellovin
- WireShark学习笔记(二)数据包过滤
- nginx HA高可用
- 超简单的时间分钟秒钟倒计时
- IOS中获取各种文件的目录路径的方法
- JCBC-事务
- Java编程题目-5:回文数
- javascript创建对象
- poj 2251(Dungeon Master)
- MacOS系统熟悉