Wireshark过滤器使用

《Wireshark过滤器使用》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、过滤器的区别捕捉过滤器（CaptureFilters）：用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。显示过滤器（DisplayFilters）：在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。那么我应该使用哪一种过滤器呢？两种过滤器的目的是不同的。捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。显示过滤器是一种更为强大（复杂）的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。两种过滤器使用的语法是完全不同的。捕捉过滤器Protocol（协议）:可能的值:ether,fddi,ip,arp

2、,rarp,decnet,lat,sca,moprc,mopdl,tcpandudp.如果没有特别指明是什么协议，则默认使用所有支持的协议。Direction（方向）:可能的值:src,dst,srcanddst,srcordst如果没有特别指明来源或目的地，则默认使用“srcordst”作为关键字。例如，”host10.2.2.2″与”srcordsthost10.2.2.2″是一样的。Host(s):可能的值：net,port,host,portrange.如果没有指定此值，则默认使用”host”关键字。例如，”src10.1.1.1″与”srchost10.

3、1.1.1″相同。LogicalOperations（逻辑运算）:可能的值：not,and,or.否(“not”)具有最高的优先级。或(“or”)和与(“and”)具有相同的优先级，运算时从左至右进行。例如，“nottcpport3128andtcpport23″与”(nottcpport3128)andtcpport23″相同。“nottcpport3128andtcpport23″与”not(tcpport3128andtcpport23)”不同。例子：tcpdstport3128//捕捉目的TCP端口为3128的封包。ipsrchost10.1.1.1//捕

4、捉来源IP地址为10.1.1.1的封包。host10.1.2.3//捕捉目的或来源IP地址为10.1.2.3的封包。etherhoste0-05-c5-44-b1-3c//捕捉目的或来源MAC地址为e0-05-c5-44-b1-3c的封包。如果你想抓本机与所有外网通讯的数据包时，可以将这里的mac地址换成路由的mac地址即可。srcportrange2000-2500//捕捉来源为UDP或TCP，并且端口号在2000至2500范围内的封包。notimcp//显示除了icmp以外的所有封包。（icmp通常被ping工具使用）srchost10.7.2.12andno

5、tdstnet10.200.0.0/16//显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。(srchost10.4.1.12orsrcnet10.6.0.0/16)andtcpdstportrange200-10000anddstnet10.0.0.0/8//捕捉来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络10.0.0.0/8内的所有封包。srcnet192.168.0.0/24srcnet192.168.0.0mask255.255.255.0

6、//捕捉源地址为192.168.0.0网络内的所有封包。注意事项：当使用关键字作为值时，需使用反斜杠“/”。“etherproto/ip”(与关键字”ip”相同).这样写将会以IP协议作为目标。“ipproto/icmp”(与关键字”icmp”相同).这样写将会以ping工具常用的icmp作为目标。可以在”ip”或”ether”后面使用”multicast”及”broadcast”关键字。当您想排除广播请求时，”nobroadcast”就会非常有用。Protocol（协议）:您可以使用大量位于OSI模型第2至7层的协议。点击”Expression…”按钮后，您可以

7、看到它们。比如：IP，TCP，DNS，SSHString1,String2(可选项):协议的子类。点击相关父类旁的”+”号，然后选择其子类。Comparisonoperators（比较运算符）:可以使用6种比较运算符：Logicalexpressions（逻辑运算符）:显示过滤器例子：snmp

8、

9、dns

10、

11、icmp//显示SNMP或DNS或ICMP封包。ip.addr==10.1.1.1//显示来源或目的IP地址为10.1.1.1的封包。ip.src!=10.1.2.3orip.dst!=10.4.5.6//显示来源不为10.1.2.3或者目的不为10.4.5.

12、6的封包。