wireshark過濾規(guī)則有哪些

wireshark過濾規(guī)則有哪些

一、IP過濾：包括來源IP或者目標IP等于某個IP

二、端口過濾：

三、協議過濾：tcp

四、包長度過濾：

六、連接符 and / or

七、表達式：!(arp.src==192.168.1.1) and !(arp.dst.proto_ipv4==192.168.1.243)

八、expert.message是用來對info信息過濾，主要配合contains來使用

使用wireshark常用的過濾命令

1.過濾源ip、目的ip。在wireshark的過濾規(guī)則框Filter中輸入過濾條件。如查找目的地址為192.168.101.8的包，ip.dst192.168.101.8;查找源地址為ip.src1.1.1.1;

2.端口過濾。如過濾80端口，在Filter中輸入，tcp.port80，這條規(guī)則是把源端口和目的端口為80的都過濾出來。使用tcp.dstport80只過濾目的端口為80的，tcp.srcport==80只過濾源端口為80的包;

3.協議過濾比較簡單，直接在Filter框中直接輸入協議名即可，如過濾HTTP的協議;

4.http模式過濾。如過濾get包，http.request.method==“GET”,過濾post包，http.request.method==“POST”;

5.連接符and的使用。過濾兩種條件時，使用and連接，如過濾ip為192.168.101.8并且為http協議的，ip.src==192.168.101.8 and http。

wireshark過濾器表達式

1. 關鍵字

“與”：“eq” 和 “==”等同，可以使用 “and” 表示并且，

“或”：“or”表示或者。

“非”：“!" 和 "not” 都表示取反。

多組條件聯合過濾數據包的命令，就是通過每個單個的條件命令與關鍵字“與或非”的組合實現的。

2. 針對ip的過濾

針對wireshark最常用的自然是針對IP地址的過濾。其中有幾種情況：

(1)對源地址為192.168.0.1的包的過濾，即抓取源地址滿足要求的包。

表達式為：ip.src == 192.168.0.1

(2)對目的地址為192.168.0.1的包的過濾，即抓取目的地址滿足要求的包。

表達式為：ip.dst == 192.168.0.1

(3)對源或者目的地址為192.168.0.1的包的過濾，即抓取滿足源或者目的地址的ip地址是192.168.0.1的包。

表達式為：ip.addr == 192.168.0.1,本表達式的等價表達式為

ip.src == 192.168.0.1or ip.dst == 192.168.0.1

(4)要排除以上的數據包，我們只需要將其用括號囊括，然后使用 "!" 即可。

表達式為：!(表達式)

3. 針對協議的過濾

(1)僅僅需要捕獲某種協議的數據包，表達式很簡單僅僅需要把協議的名字輸入即可。

表達式為：http

問題：是否區(qū)分大小寫?答：區(qū)分，只能為小寫

(2)需要捕獲多種協議的數據包，也只需對協議進行邏輯組合即可。

表達式為：http or telnet (多種協議加上邏輯符號的組合即可)

(3)排除某種協議的數據包

表達式為：not arp 或者 !tcp

4. 針對端口的過濾(視傳輸協議而定)

(1)捕獲某一端口的數據包

表達式為：tcp.port == 80 (以tcp協議為例)

(2)捕獲多端口的數據包，可以使用and來連接，下面是捕獲高于某端口的表達式

表達式為：udp.port >= 2048 (以udp協議為例)

5. 針對長度和內容的過濾

(1)針對長度的過慮(這里的長度指定的是數據段的長度)

表達式為：udp.length < 30 http.content_length <=20

(2)針對數據包內容的過濾

表達式為：http.request.urimatches "vipscu" (匹配http請求中含有vipscu字段的請求信息)

6. 進階

通過以上的最基本的功能的學習，如果隨意發(fā)揮，可以靈活應用，就基本上算是入門了。以下是比較復雜的實例(來自wireshark圖解教程)：

tcp dst port3128

顯示目的TCP端口為3128的封包。

ip src host10.1.1.1

顯示來源IP地址為10.1.1.1的封包。

host 10.1.2.3

顯示目的或來源IP地址為10.1.2.3的封包。

src portrange2000-2500

顯示來源為UDP或TCP，并且端口號在2000至2500范圍內的封包。

not imcp

顯示除了icmp以外的所有封包。(icmp通常被ping工具使用)

src host10.7.2.12 and not dst net 10.200.0.0/16

顯示來源IP地址為10.7.2.12，但目的地不是10.200.0.0/16的封包。

(src host10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net10.0.0.0/8

顯示來源IP為10.4.1.12或者來源網絡為10.6.0.0/16，目的地TCP端口號在200至10000之間，并且目的位于網絡10.0.0.0/8內的所有封包。

wireshark 如何分析一個會話的時間長度

把當次會話過濾出來，單獨保存。然后設置時間方式為deta類型，就可以了。