wireshark精确到字节的过滤方法

wireshark本身提供很多过滤方法，常用的比如根据ip、mac、通信协议等方式来过滤报文。但我一直觉得下面描述的这种过滤方式十分好用，灵活、简便且适用范围广。

 

这种方式可以过滤报文中的任何一个字节，以dhcp报文为例：

 我只想统计discover报文数量，那就针对packet type这一个字段过滤。该字段在42个字节后面1个字节（即第43字节），discover报文类型是1，所以我们只需要输入frame[42:1]==01就好了。

​

 

offer给用户分配IP，我需要查看分配192.168.130.x这个网段的报文，所以可以针对ip的前三个字节进行过滤。这个ip前三个字节在报文第58字节后面1个字节，因此过滤条件是frame[58:3]==c0:a8:82。

注意：因为是过滤三个字节，因此frame[58:3]这里是3不是上面例子中的1。

​

转载于:https://www.cnblogs.com/luoyingcai/p/11142209.html