wrieshark过滤规则

本文介绍了Wireshark中常用的过滤规则,包括IP地址、端口、协议等的精确过滤及包长度、payload内容的匹配方法,帮助读者快速定位并分析网络流量。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

wrieshark过滤规则

1. IP

  • 源IP

    ip.src eq 1.1.1.1
    
  • 目的IP

    ip.dst eq 1.1.1.1
    
  • IP

    ip.addr eq 1.1.1.1
    

端口

  • 源端口

    tcp.srcport == 80	
    
  • 目的端口

    tcp.dstport == 80
    
  • 端口

    tcp.port == 80	udp.port ==80	
    

    端口范围:

    tcp.port >= 1 and tcp.port <= 80
    

协议

tcp、udp、arp、icmp、http、smtp、ftp、dns

排除arp包,如!arp   或者   not arp

包长过滤

udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和

tcp.len >= 7   指的是ip数据包(tcp下面那块数据),不包括tcp本身

ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后

frame.len == 119 整个数据包长度,从eth开始到最后



eth —> ip or arp —> tcp or udp —> data

payload

udp[8]==14        (14是十六进制0x14)匹配payload第一个字节0x14的UDP数据包

udp[8:2]==14:05 可以udp[8:2]==1405,且只支持2个字节连续,三个以上须使用冒号:分隔表示十六进制。 (相当于 udp[8]==14 and udp[9]==05,1405是0x1405)

udp[8:3]==22:00:f7 但是不可以udp[8:3]==2200f7

udp[8:4]==00:04:00:2a,匹配payload的前4个字节0x0004002a

而udp contains 7c:7c:7d:7d 匹配payload中含有0x7c7c7d7d的UDP数据包,不一定是从第一字节匹配。

udp[8:4] matches “\\x14\\x05\\x07\\x18″

udp[8:] matches “^\\x14\\x05\\x07\\x18\\x14″
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值