网络安全系列-四十六: Wireshark的两种过滤器--捕获过滤器和显示过滤器

Wireshark两个过滤器的区别？

Wireshark提供两种过滤器，一种是捕获过滤器（Capture Filters），另一种是显示过滤器（Display Filters），两者的主要区别在于它们的应用范围和时间。

区别如下：

• 显示过滤器是在已经捕获的数据包上应用的过滤器。

  • 用于过滤和查看Wireshark捕获到的数据包。
  • 只影响当前查看的数据包列表，而不会影响正在进行的捕获操作。
  • 通常用于缩小数据范围，让分析者可以更轻松地查找和分析有关特定网络流量的信息
  • 通过在Wireshark的“过滤器”栏中输入特定的语法来实现的。用户可以使用各种条件来筛选他们感兴趣的数据包，如源IP地址、目标IP地址、协议、端口等

• 捕获过滤器则是在捕获数据包时应用的过滤器

  • 用于过滤并仅捕获指定的数据包，从而减少网络流量捕获的数据量。
  • 可以帮助用户更有效地捕获和存储有关特定流量的数据包，并避免在存储数据包时产生不必要的数据。
  • 捕获过滤器是使用BPF（Berkeley Packet Filter）语法编写的
  • 用户可以使用各种条件来设置捕获过滤器，如源IP地址、目标IP地址、协议、端口等。
  • 由于在捕获之前过滤数据包，因此捕获过滤器可以提高Wireshark的性能和效率

为什么wireshark提供2种过滤器

捕获过滤器可以在捕获网络数据包时对数据包进行过滤，只有符合条件的数据包才会被捕获和显示在Wireshar