Wireshark使用指南之显示过滤器

Wireshark使用指南之显示过滤器

一.协议过滤器
arp:显示所有ARP流量，包括免费ARP，ARP请求和ARP应答。
ip
ipv6
tcp

二.应用过滤器
bootp:显示所有DHCP流量(基于BOOTP)；
dns:显示所有DNS流量，包括基于TCP传输和UDP的DNS请求和响应；
tftp:显示所有TFTP(简单文件传输协议)流量；
http:显示所有HTTP命令，响应和数据传输包。
icmp

三.字段存在过滤器
bootp.option.hostname 显示所有DHCP流量，包含主机名；
http.host 显示所有包含有HTTP主机名字段的HTTP包。该包通常是由客户端发送给一个web服务器的请求。
ftp.request.command 显示所有FTP命令数据，如USER,PASS,RETR命令。

四.特有的过滤器
tcp.analysis.flags 显示所有与TCP标识相关的包，包括丢包，重发或者零窗口标志；
tcp.analysis.zero_window 显示被标志的包，来表示发送方的缓冲空间已满；

五.识别字段名
过滤器中输入http.request.method 显示包含该字段的所有包；

六.过滤显示HTTP

通常分析一个HTTP包时，需要分未两个阶段，首先是通过TCP三次握手建立连接，然后再发生HTTP GET请求，才可连接到Web服务器。
过滤条件: HTTP || tcp.port == 80
当客户端与Web服务器通过TCP三次握手建立连接时，使用的是TCP协议的80端口。

七.地址过滤
1.显示单个地址或主机数据
ip.src 表示捕获源IPv4地址的数据。
ip.dst 表示捕获目标IPv4地址的数据。
ip.host 表示到达/来自解析某个网站后IPv4地址的数据。
如:ip.host == www.baidu.com
ip.addr 表示到达/来自IPv4地址的数据。
(ipv6类似)

2.显示一个子网IP的数据
可以使用CIDR格式使用ip.addr字段名定义一个子网过滤器。
ip.addr==192.168.0.0/24

3.过滤显示单一的TCP/UDP会话
想要分析一个客户端应用程序和一个服务器进程的会话时，可以通过过滤单一的TCP/UDP会话实现。
3.1使用Conversation Filter–>TCP命令
在Packet List面板中右击任何一个包，并依次选择Conversation Filter–>TCP命令。
可以使用同样的方法，过滤基于IP地址，以太网或UDP地址/端口号结合的一个会话。

3.2 Follow TCP/UDP Stream命令
一个会话中查看应用程序命令和数据交换。在Packet List面板中右击任何一个包，并依次选择Follow TCP/UDP Stream。


4.使用复杂表达式过滤
&& and
|| or
! not
!= ne
如:tcp.flags.syn != 1 表示查看TCP SYN标志位不是1的TCP数据帧。