wireshark过滤器

抓包过滤器（语法说明，举例说明，实验演示）：

 

 

显示过滤器（语法说明，实验演示）：

 

1. 捕捉过滤器

捕捉过滤器的语法与其它使用Lipcap（Linux）或者Winpcap（Windows）库开发的软件一样，比如著名的TCPdump。捕捉过滤器必须在开始捕捉前设置完毕，这一点跟显示过滤器是不同的。

设置捕捉过滤器的步骤是：
- 选择 capture -> options。
- 填写"capture filter"栏或者点击"capture filter"按钮为您的过滤器起一个名字并保存，以便在今后的捕捉中继续使用这个过滤器。
- 点击开始（Start）进行捕捉。 

 

语法：

Protocol

Direction

Host(s)

Value

Logical Operations

Other expression

例子：

tcp

dst

10.1.1.1

80

and

tcp dst 10.2.2.2 3128

 Protocol（协议）:
可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.
如果没有特别指明是什么协议，则默认使用所有支持的协议。 

 Direction（方向）:
可能的值: src, dst, src and dst, src or dst
如果没有特别指明来源或目的地，则默认使用 "src or dst" 作为关键字。
例如，"host 10.2.2.2"与"src or dst host 10.2.2.2"是一样的。 

 Host(s):
可能的值： net, port, host, portrange.
如果没有指定此值，则默认使用"host"关键字。
例如，"src 10.1.1.1"与"src host 10.1.1.1"相同。 

 Logical Operations（逻辑运算）:
可能的值：not, and, or.
否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级，运算时从左至右进行。
例如，
"not tcp port 3128 and tcp port 23"与"(not tcp port 3128) and tcp port 23"相同。
"not tcp port 3128 and tcp port 23"与"not (tcp port 3128 and tcp port 23)"不同。
 

---

例子：

 

tcp dst port 3128

显示目的TCP端口为3128的封包。
 

ip src host 10.1.1.1

显示来源IP地址为10.1.1.1的封包。
 

host 10.1.2.3

显示目的或来源IP地址为10.1.2.3的封包。
 

src portrange 2000-2500

显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。
 

not imcp

显示除了icmp以外的所有封包。（icmp通常被ping工具使用）
 

src host 10.7.2.12 and not dst net 10.200.0.0/16

显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。
 

(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8

显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络10.0.0.0/8内的所有封包。 

---

注意事项：

当使用关键字作为值时，需使用反斜杠“\”。
"ether proto \ip" (与关键字"ip"相同).
这样写将会以IP协议作为目标。

"ip proto \icmp" (与关键字"icmp"相同).
这样写将会以ping工具常用的icmp作为目标。 

可以在"ip"或"ether"后面使用"multicast"及"broadcast"关键字。
当您想排除广播请求时，"no broadcast"就会非常有用。

 

2. 显示过滤器：

通常经过捕捉过滤器过滤后的数据还是很复杂。此时您可以使用显示过滤器进行更加细致的查找。
它的功能比捕捉过滤器更为强大，而且在您想修改过滤器条件时，并不需要重新捕捉一次。

 

语法：

Protocol

.

String 1

.

String 2

Comparison operator

Value

Logical Operations

Other expression

例子：

ftp

passive

ip

==

10.2.3.4

xor

icmp.type

 Protocol（协议）:

您可以使用大量位于OSI模型第2至7层的协议。点击"Expression..."按钮后，您可以看到它们。
比如：IP，TCP，DNS，SSH



 

您同样可以在如下所示位置找到所支持的协议：



 

Wireshark的网站提供了对各种 协议以及它们子类的说明。 

 String1, String2 (可选项):

协议的子类。
点击相关父类旁的"+"号，然后选择其子类。 

 

 Comparison operators （比较运算符）: 

可以使用6种比较运算符：
 

英文写法：	C语言写法：	含义：
eq	==	等于
ne	!=	不等于
gt	>	大于
lt	<	小于
ge	>=	大于等于
le	<=	小于等于

 Logical expressions（逻辑运算符）:
 

英文写法：	C语言写法：	含义：
and	&&	逻辑与
or	||	逻辑或
xor	^^	逻辑异或
not	!	逻辑非

被程序员们熟知的逻辑异或是一种排除性的或。当其被用在过滤器的两个条件之间时，只有当且仅当其中的一个条件满足时，这样的结果才会被显示在屏幕上。
让我们举个例子：
"tcp.dstport 80 xor tcp.dstport 1025"
只有当目的TCP端口为80或者来源于端口1025（但又不能同时满足这两点）时，这样的封包才会被显示。 
 

---

例子：

 

snmp || dns || icmp

显示SNMP或DNS或ICMP封包。

ip.addr == 10.1.1.1

显示来源或目的IP地址为10.1.1.1的封包。
 

ip.src != 10.1.2.3 or ip.dst != 10.4.5.6

显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3以外任意；目的IP：任意
以及
来源IP：任意；目的IP：除了10.4.5.6以外任意
 

ip.src != 10.1.2.3 and ip.dst != 10.4.5.6

显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。 
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3以外任意；同时须满足，目的IP：除了10.4.5.6以外任意
 

tcp.port == 25

显示来源或目的TCP端口号为25的封包。

tcp.dstport == 25

显示目的TCP端口号为25的封包。

tcp.flags

显示包含TCP标志的封包。

tcp.flags.syn == 0x02

显示包含TCP SYN标志的封包。

如果过滤器的语法是正确的，表达式的背景呈绿色。如果呈红色，说明表达式有误。
 

	表达式正确
	表达式错误

 

 

详细举例：

 
 
在顶上有一个搜索栏就是我们写过滤表达式的地方。主要实用有针对性的一些过滤表达式有按协议过滤；按目的端口过滤；按源IP地址过滤；按目的MAC地址过滤；针对长度和内容的过滤等，我们逐个说明，读者可以在自己wireshark进行实验（有点像在写sql的where语句，对的语句搜索栏是绿色的，有错误就是红色的）。

1、针对IP地址的过滤 
Cmd输入ipconfig 
 
（1）对源地址为10.136.157.37的包的过滤，即抓取源地址满足要求的包。 
表达式为：ip.src ==10.136.157.37 
（2）对目的地址为10.136.157.37的包的过滤，即抓取目的地址满足要求的包。 
表达式为：ip.dst ==10.136.157.37 
（3）对源或者目的地址为10.136.157.37的包的过滤，即抓取满足源或者目的地址的ip地址是10.136.157.37的包。 
表达式为：ip.addr ==10.136.157.37或者ip.src ==10.136.157.37 or ip.dst ==10.136.157.37 
（4）要排除以上的数据包，我们只需要将其用括号囊括，然后使用 “!”或者”not”即可。 
表达式为：!(表达式) not（表达式） 
 
2、针对协议的过滤 
（1）仅仅需要捕获某种协议的数据包，表达式很简单仅仅需要把协议的名字输入即可。 
表达式为：http 
（2）需要捕获多种协议的数据包，也只需对协议进行逻辑组合即可。 
表达式为：http or telnet （多种协议加上逻辑符号的组合即可） 
（3）排除某种协议的数据包 
表达式为：not arp or !tcp 

3、针对端口的过滤（视协议而定） 
（1）捕获某一端口的数据包 
表达式为：tcp.port == 80 
（2）捕获多端口的数据包，可以使用and来连接，下面是捕获高端口的表达式 
表达式为：udp.port >= 2048 

4、针对长度和内容的过滤 
（1）针对长度的过虑（这里的长度指定的是数据段的长度） 
表达式为：udp.length < 30 http.content_length <=20 
（2）针对数据包内容的过滤 
表达式为：http.request.uri matches “blog” （匹配http请求中含有vipscu字段的请求信息） 

5、过滤目的Mac地址 
在cmd输入ipconfig/all得到mac地址，即物理地址 

表达式为：eth.addr==DC-85-DE-F2-06-7D 

6、过滤出MAC地址为本机MAC地址，IP地址为非本机IP地址的数据包。 
表达式为：eth.addr== DC-85-DE-F2-06-7D and ip.addr != 10.136.157.37