Wireshark 过滤器简单用法

    wireshark 的filter工具是非常强大的，原来一直简单的定义一些ip源，目的地址。昨天琨琨找我要个抓包工具，要过滤具体的数据包有效负载的关键字，这个我确实没用过，于是把wireshark filter的文档看了一下，简单的做了一个总结，可能有错误，希望大家纠正。

    wireshark的过滤器可以分为在抓包过程中过滤和显示过滤两种主要的功能

    比值运算

等于	Equal	eq	==
不等于	Not Equal	ne	!=
大于	Greater Than	gt	>
小于	Less Than	lt	<
大于等于	Greater than or Equal to	ge	>=
小于等于	Less than or Equal to	le	<=

 

    逻辑运算

与运算	Logical AND	and	&&
或运算	Logical OR	or	||
非运算	Logical NOT	not	！

    搜索和匹配参数

contains ""	包含	可以搜索一个字符串或者是一个bytes，不能用于原子字段，例如数字或者IP地址
match ""	匹配	支持基于perl规则的正则表达式，对应协议或协议负载内的字符串。

 

其它function

upper(string-field) - converts a string field to uppercase lower(string-field) - converts a string field to lowercase

实例

1，查找某种协议

直接输入协议的名称

2，源IP地址为×××× 的HTTP协议，其中包含TEST字段

ip.src == 10.1.10.55 and http contains "test" 这是我发的一条内容为test的微博信息，点击apply应用过滤条件

过滤得到两个数据包，这是我通过chrome同时更新到了两个微博

详细的子属性，可以自动提示，例如输入ip.以后，IP的子属性就会自动呈现出来。

3，查找本机收到的，数据包长度小于100的IP数据包

ip.len <= 100 and ip.dst == 10.1.10.55

只要你对协议本身是非常的熟悉的话wireshark还有很多功能可以发掘