wireshark 抓包過濾器使用

過濾器分為抓包過濾器和顯示過濾器，抓包過濾器會將不滿足過濾條件的包丟棄，只保留滿足條件的包，而顯示過濾器則是對已抓取的包做過濾，過濾出滿足條件的包。

顯示過濾器可以保留全部的報資料，方便後期做流量分析，而抓包過濾器保留的資料有限，後期分析有侷限性。

wireshark抓包是基於其內部的libpcap/wincap庫

開啟軟體時直接在filter欄輸入過濾規則即可，如下以wireshark2.6舉例

使用的是bfp語法（berkeley packet filter），一共四個元素：

方向（dir）

協議（proto）

邏輯運算子

示例：

src host 192.168.1.1 && dst port 80

host 192.168.1.1 || host 192.168.1.2

! broadcast

ether host 00:88:ca:86:f8:0d

ether src host 00:88:ca:86:f8:0d
ether dst host 00:88:ca:86:f8:0d

host 192.168.1.1

src host 192.168.1.1
dst host 192.168.1.1

port 80

!port 80
dst port 80
src port 80

arp

icmp

host 192.168.1.1 && port 8080

比較符：

邏輯操作符：

埠過濾：

協議過濾：

arp、ip、icmp、udp、tcp、bootp、dns等

示例：

ip.addr == 192.168.1.1   過濾該位址的包

ip.src == 172.16.1.1 過濾源位址為該位址的包

tcp.port == 80 過濾tcp中埠號為80的包

tcp.flags.syn == 1 過濾syn請求為1的包

ip.src == 192.168.1.1 and ip.dst == 172.16.1.1

Wireshark 抓包過濾器學習

wireshark中，分為兩種過濾器 捕獲過濾器和顯示過濾器 捕獲過濾器是指wireshark一開始在抓包時，就確定要抓取哪些型別的包 對於不需要的，不進行抓取。顯示過濾器是指wireshark對所有的包都進行抓取，當使用者分析資料報的資訊，便於篩選出需要的資料報。總結來說，捕獲過濾器是在使用者開始...

Wireshark網路抓包 二 過濾器

圖 img 圖 img 1 捕獲單個ip位址 2 捕獲ip位址範圍 圖 img 3 捕獲廣播或多播位址 圖 img 4 捕獲mac位址 圖 img 5 捕獲所有埠號 圖 img 6 捕獲特定icmp資料 當網路 現效能或安全問題時，將會看到icmp 網際網路控制訊息協議 在這種情況下，使用者必須使用...

Wireshark過濾器使用介紹

在工作中我們常會用到wireshark抓取資料報進行分析，當使用wireshark預設設定時，會捕獲到大量冗餘的資料報，如果沒有過濾器過濾，我們很難找到自己想要抓取的資料，這個時候就需要用到wireshark的過濾器來過濾，它們可以幫助我們在龐雜的結果中迅速找到我們需要的資訊。wireshark提供...