资源描述：
《wireshark过滤器使用规则介绍》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。
1、Wireshark过滤器使用规则介绍之前学习Wireshark，看到wireshark简明教程里有关过滤器的介绍，特别是新手不明白捕捉过滤器和显示过滤器的区别与作用。这篇文章感觉写的挺好，解答了我的疑惑，毕竟看英文也是挺吃力的而且自己理解意思也不太明确。特地转来，顺便加了点料，特来分享。使用Wireshark时最常见的问题，是当您使用默认设置时，会得到大量冗余信息，以至于很难找到自己需要的部分。这就是为什么过滤器会如此重要。它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。过滤器的区别捕捉过滤器（CaptureFilters）：用于决定将
2、什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。显示过滤器（DisplayFilters）：在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。那么我应该使用哪一种过滤器呢？两种过滤器的目的是不同的。捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。显示过滤器是一种更为强大（复杂）的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。两种过滤器使用的语法是完全不同的。捕捉过滤器语法：ProtocolDirectionHost(s)ValueLogicalOperationsOtherexp
3、ression例子：tcpdst10.1.1.180andtcpdst10.2.2.23128Protocol（协议）:可能的值:ether,fddi,ip,arp,rarp,decnet,lat,sca,moprc,mopdl,tcpandudp.如果没有特别指明是什么协议，则默认使用所有支持的协议。Direction（方向）:可能的值:src,dst,srcanddst,srcordst如果没有特别指明来源或目的地，则默认使用“srcordst”作为关键字。例如，”host10.2.2.2″与”srcordsthost10.2.2.2″是
4、一样的。Host(s):可能的值：net,port,host,portrange.如果没有指定此值，则默认使用”host”关键字。例如，”src10.1.1.1″与”srchost10.1.1.1″相同。LogicalOperations（逻辑运算）:可能的值：not,and,or.否(“not”)具有最高的优先级。或(“or”)和与(“and”)具有相同的优先级，运算时从左至右进行。例如，“nottcpport3128andtcpport23″与”(nottcpport3128)andtcpport23″相同。“nottcpport3128
5、andtcpport23″与”not(tcpport3128andtcpport23)”不同。例子：tcpdstport3128显示目的TCP端口为3128的封包。ipsrchost10.1.1.1显示来源IP地址为10.1.1.1的封包。host10.1.2.3显示目的或来源IP地址为10.1.2.3的封包。srcportrange2000-2500显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。notimcp显示除了icmp以外的所有封包。（icmp通常被ping工具使用）srchost10.7.2.12andnot
6、dstnet10.200.0.0/16显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。(srchost10.4.1.12orsrcnet10.6.0.0/16)andtcpdstportrange200-10000anddstnet10.0.0.0/8显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络10.0.0.0/8内的所有封包。srcnet192.168.0.0/24srcnet192.168.0.0mask255.255
7、.255.0显示来源IP地址为10.1.1.1的封包。注意事项：当使用关键字作为值时，需使用反斜杠“”。“etherprotoip”(与关键字”ip”相同).这样写将会以IP协议作为目标。“ipprotoicmp”(与关键字”icmp”相同).这样写将会以ping工具常用的icmp作为目标。可以在”ip”或”ether”后面使用”multicast”及”broadcast”关键字。当您想排除广播请求时，”nobroadcast”就会非常有用。Protocol（协议）:您可以使用大量位于OSI模型第2至7层的协议。点击”Expressio
8、n…”按钮后，您可以看到它们。比如：IP，TCP，DNS，SSHString1,String2(可选项):协议的子类。点击相关父类旁的”+”号，然后选择其子类。Co
