wireshark过滤的使用

wireshark是当今世界使用最为广泛的网络封包分析软件之一，其以免费且强大的功能著称。例如其强大的过滤器引擎，可以是使用者在繁杂的数据中快速找到自己需要的数据。但是，其强大的功能下是复杂的操作。在此，将一些简单的过滤语句总结如下。
主要为五种类型：1.ip过滤：比如：ip.src addr==192.168.0.208 or ip.src addr eq 192.168.0.208 显示来源IP

ip.dst addr==192.168.0.208 or ip.dst addr eq 192.168.0.208 显示目标IP
2.端口过滤 ：

   比如：tcp.port eq 80 // 不管端口是来源的还是目标的都显示

    tcp.port == 80

    tcp.port eq 2722

    tcp.port eq 80 or udp.port eq 80

    tcp.dstport == 80 // 只显tcp协议的目标端口80

    tcp.srcport == 80 // 只显tcp协议的来源端口80
    过滤端口范围tcp.port >= 1 and tcp.port <= 80

3.协议过滤
udp，arp，icmp，http，smtp，sl包，如!ssl 或者 not ssl
4.包长度过滤
比如：

udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和

tcp.len >= 7 指的是ip数据包(tcp下面那块数据),不包括tcp本身

ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后

frame.len == 119 整个数据包长度,从eth开始到最后
5.http模式过滤
例子:

http.request.method == “GET”

http.request.method == “POST”

http.request.uri == “/img/logo-edu.gif”

http contains “GET”

http contains “HTTP/1.”

主要语法为；
d 0-9的数字

\D \d的补集（以所以字符为全集，下同），即所有非数字的字符

\w 单词字符，指大小写字母、0-9的数字、下划线

\W \w的补集

\s 空白字符，包括换行符\n、回车符\r、制表符\t、垂直制表符\v、换页符\f

\S \s的补集

. 除换行符\n外的任意字符。 在Perl中，“.”可以匹配新行符的模式被称作“单行模式”

.* 匹配任意文本，不包括回车(\n)? 。 而，[0x00-0xff]* 匹配任意文本,包括\n

[…] 匹配[]内所列出的所有字符

[^…] 匹配非[]内所列出的字符

2、定位字符 所代表的是一个虚的字符，它代表一个位置，你也可以直观地认为“定位字符”所代表的是某个字符与字符间的那个微小间隙。
^ 表示其后的字符必须位于字符串的开始处

$ 表示其前面的字符必须位于字符串的结束处

\b 匹配一个单词的边界

\B 匹配一个非单词的边界

3、重复描述字符
{n} 匹配前面的字符n次

{n,} 匹配前面的字符n次或多于n次

{n,m} 匹配前面的字符n到m次

? 匹配前面的字符0或1次

•      匹配前面的字符1次或多于1次
  

•      匹配前面的字符0次或式于0次
  

4、and or 匹配
and 符号 并

or 符号 或

例如：

tcp and tcp.port==80

tcp or udp

来源：https://www.jianshu.com/p/9233eebfcd6b
具体操作结果：