Omnipeek空口抓包(3)：过滤器的设置和使用

转载请注明原文地址：https://blog.csdn.net/superhcq/article/details/79886527

过滤器的使用

使用菜单栏View->Filters打开过滤器界面，如下图所示：

系统默认已经创建了一系列过滤器，可以直接在抓包中设置过滤。
创建一个抓包器，设置好网卡和通道后，开启抓包，一段时间后停止抓包。在Packages界面使用工具栏中的过滤器图标选择过滤条件，如下图所示：

例如：选择Wireless->802.11 Beacons， 生效后就会将802.11 Beacons的包过滤出来。再次点选All Aackages后显示全部的数据包。
注意：这种使用过滤器的方法，只能停止抓包后选在过滤。
当我们希望只抓取过滤条件的数据包做分析时，可以在创建抓包器时设置过滤条件，如下图所示：

在抓包前，勾选过滤条件。开启抓包后，只显示过滤后的数据包。
这种方式有个弊端：过滤条件之外的数据包全部无法查看。当我们想要分析特定数据包时可以通过这种方式，避免All Packages太多，造成分析困难。
在停止抓包后，可以通过根据某一数据包的属性来过滤出目标报文。操作步骤：
选中数据包-> 右键选择Selete Related Packages -> 选在过滤条件（过滤条件中可以通过源地址、目标地址、协议、端口号等方式）-> 选择结果显示方式，如下图所示：

可以直接在当前界面高亮显示过滤出的包，也可以通过选择Copy selected packages to new window来打开一个新的窗口显示过滤后的结果，以供分析。这个功能非常实用。

设置过滤条件

在系统过滤器列表中，选中一个过滤器，双击打开，会进入编辑界面，如下图所示：

手动添加过滤器：
简单过滤器可以通过地址、协议和端口三种方式配置过滤条件。可以切换到高级设置界面，如下图所示：

在高级模式下可以对已有的过滤条件进行操作，增加、删除过滤条件，可以设置过个条件（串行、并行）。这样更助于数据分析。
可以在Filter界面插入、删除等操作。点击Insert图标，进入过滤器创建界面。通过简单模式设置数据包的MAC、端口号、通信协议来过滤，基本可以达到要求。
根据特定数据包来创建过滤器：
选择特定数据包，在数据包报文解析中找到作为过滤调节的条目，右键选择Make Filter，会自动进入过滤器创建界面。后面步骤同上。

空口抓包

正常模式下直接抓取某一信道的数据包，是无法看到明文数据的，只能显示加密后的数据。当我们需要针对某一问题抓取所有的802.11数据包时，可以简单将路由器设置成open模式，这样就可以显示明文数据了。当然也可以抓取报文后再进行解包，操作起来较复杂。