wrieshark过滤规则
1. IP
-
源IP
ip.src eq 1.1.1.1 -
目的IP
ip.dst eq 1.1.1.1 -
IP
ip.addr eq 1.1.1.1
端口
-
源端口
tcp.srcport == 80 -
目的端口
tcp.dstport == 80 -
端口
tcp.port == 80 udp.port ==80端口范围:
tcp.port >= 1 and tcp.port <= 80
协议
tcp、udp、arp、icmp、http、smtp、ftp、dns
排除arp包,如!arp 或者 not arp
包长过滤
udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和
tcp.len >= 7 指的是ip数据包(tcp下面那块数据),不包括tcp本身
ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后
frame.len == 119 整个数据包长度,从eth开始到最后
eth —> ip or arp —> tcp or udp —> data
payload
udp[8]==14 (14是十六进制0x14)匹配payload第一个字节0x14的UDP数据包
udp[8:2]==14:05 可以udp[8:2]==1405,且只支持2个字节连续,三个以上须使用冒号:分隔表示十六进制。 (相当于 udp[8]==14 and udp[9]==05,1405是0x1405)
udp[8:3]==22:00:f7 但是不可以udp[8:3]==2200f7
udp[8:4]==00:04:00:2a,匹配payload的前4个字节0x0004002a
而udp contains 7c:7c:7d:7d 匹配payload中含有0x7c7c7d7d的UDP数据包,不一定是从第一字节匹配。
udp[8:4] matches “\\x14\\x05\\x07\\x18″
udp[8:] matches “^\\x14\\x05\\x07\\x18\\x14″
本文介绍了Wireshark中常用的过滤规则,包括IP地址、端口、协议等的精确过滤及包长度、payload内容的匹配方法,帮助读者快速定位并分析网络流量。

被折叠的 条评论
为什么被折叠?



