Wireshark 抓包过滤命令汇总

作为一名网络工程师， 如果你不会wireShark， 就不是一名合格的工程师；
![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/bef009fb41b842be97d1e97b89cf1cb6.pngWireshark本身主要是一个图形用户界面应用程序，所以其大部分操作通过图形界面完成。然而，Wireshark及其命令行工具如 tshark 提供了强大的命令行功能，适用于脚本化和自动化的网络分析。以下是一些常用的命令和操作：

Wireshark 下载和安装

1. 下载方法一：
   打开网址 https://www.wireshark.org/进入 Wireshark 官网，如图所示。
   

2. 下载方法二：百度网盘下载
   百度网盘链接：https://pan.baidu.com/s/1a4LoJ8BppTq2fNWh4pFIBQ?pwd=weij
   提取码：weij

安装默认下一步即可

（由于我这里安装过， 就不做演示了）

Wireshark 图形界面中的常用操作

在 Windows 的“开始”菜单中，单击 Wireshark 菜单，启动 Wireshark，如图所示

当本地计算机浏览网站时，“本地连接”接口的数据将会被 Wireshark 捕获到。捕获的数据包如图所示。图中方框中显示了成功捕获到“本地连接”接口上的数据包。

1. 启动捕获：选择网络接口并点击“Start”。
2. 停止捕获：点击工具栏上的红色停止按钮。
3. 显示过滤器：在过滤器栏输入过滤表达式，例如 http、tcp.port == 80、ip.addr == 192.168.1.1。
4. 保存捕获文件：文件 > 保存，选择文件名和位置。
5. 跟踪流：右键点击一个数据包，选择“Follow” > “TCP Stream”或“UDP Stream”。
6. 统计信息：
   • 协议层次结构：Statistics > Protocol Hierarchy
   • 对话列表：Statistics > Conversations
   • 端点列表：Statistics > Endpoints

Wireshark 本身是一个图形用户界面（GUI）工具，大部分操作通过图形界面进行。然而，Wireshark 也提供了一些命令行工具，如 tshark，用于在命令行环境中执行数据包捕获和分析操作。以下是一些常用的 tshark 命令和 Wireshark 界面操作的简要说明。

Wireshark 图形界面操作

启动捕获

1. 选择网络接口：
   • 打开Wireshark后，主界面会显示所有可用的网络接口。
   • 双击你要捕获数据包的接口开始捕获。

停止捕获

• 点击工具栏上的红色停止按钮。

显示过滤器

• 在过滤器栏输入过滤表达式：
  • HTTP：http
  • TCP 端口 80：tcp.port == 80
  • 特定 IP 地址：ip.addr == 192.168.1.1

主机过滤：

捕获源主机的数据包：ip.src == 源IP地址
捕获目标主机的数据包：ip.dst == 目标IP地址
捕获特定主机的数据包（源或目标）：ip.addr == 主机IP地址

端口过滤：

捕获特定源端口的数据包：tcp.srcport == 源端口号
捕获特定目标端口的数据包：tcp.dstport == 目标端口号
捕获特定端口的数据包（源或目标）：tcp.port == 端口号

协议过滤：

捕获特定协议的数据包：ip.proto == 协议号
例如，捕获TCP协议数据包：tcp
例如，捕获UDP协议数据包：udp

时间过滤：

捕获特定时间范围内的数据包：frame.time >= “开始时间” && frame.time <= “结束时间”
基于内容过滤：

例如，捕获包含特定关键词的数据包：frame contains “关键词”

组合过滤：

例如，捕获特定主机和端口的数据包：ip.addr == 主机IP地址 && tcp.port == 端口号

通过系统地学习和实践，掌握 Wireshark 的各种功能和技巧，你将能够更加高效地进行网络分析和故障排除。