wireshark基本用法及过虑规则(收集)

1.过滤IP，如来源IP或者目标IP等于某个IP

例子:

ip.src eq 192.168.1.108 or ip.dst eq 192.168.1.108

或者

ip.addr eq 192.168.1.108 // 都能显示来源IP和目标IP

2.过滤端 口

例子:

tcp.port eq 80 // 不管端口是来源的还是目标的都显示

tcp.port == 80

tcp.port eq 2722

tcp.port eq 80 or udp.port eq 80

tcp.dstport == 80 // 只显tcp协议的目标端口80

tcp.srcport == 80 // 只显tcp协议的来源端口80

udp.port eq 15000

过滤 端口范围

tcp.port >= 1 and tcp.port <= 80

3.过滤协议

例子:

tcp

udp

arp

icmp

http

smtp

ftp

dns

msnms

ip

ssl

oicq

bootp

等 等

排除arp包，如!arp  或者  not arp

4.过滤MAC

太以网头 过滤

eth.dst == A0:00:00:04:C5:84 //

过滤 目标mac

eth.src eq A0:00:00:04:C5:84 //

过 滤 来源mac

eth.dst==A0:00:00:04:C5:84

eth.dst==A0-00-00-04-C5-84

eth.addr eq A0:00:00:04:C5:84 //

过滤 来源MAC和目标MAC都等于A0:00:00:04:C5:84的

less than 小于 < lt

小于等于 le

等 于 eq

大于 gt

大于等于 ge

不等 ne

5.包长度过滤

例子:

udp.length == 26 这个长度