Wiresahrk抓包过滤技术-CSDN博客

一、抓包过滤器

捕捉过滤器（CaptureFilters）：用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置
显示过滤器（DisplayFilters）：在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改

捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件
显示过滤器是一种更为强大（复杂）的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录

语法： Protocol Direction Host(s) Value Logical Operations Other expression
例子： tcp dst 10.1.1.1 80 and tcp dst 10.2.2.2 3128

协议:ether、 ip、arp、 rarp、tcp and udp等（没有特别指明什么协议，默认抓取所有协议）
方向:src、dst、 src and dst（没有特别指明源或目的地，默认为 “src or dst” 作为关键字）

类型:net、 port、host、portrange（没有指定此值，默认使用”host”关键字）
逻辑运算符:not非！、 and与||、 or或&&

src portrange 2000-2500显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包

抓包过滤器操作步骤

二、流量不大的时候使用显示过滤器

语法： Protocol.String 1.String 2 Comparisonoperator Value LogicalOperations
例子： ip.src.addr == 10.1.1.1 and

==等于
！=不等于
>=大于等于
<=小于等于
and两个条件同时满足
or其中一个条件被满足
not没有条件被满足

IP地址:ip.addr、ip.src、ip.dst
端口过滤:tcp.port、tcp.srcport、tcp.flag.syn等

显示过滤器操作步骤

如果不熟悉表达式

1、过滤端口
tcp.port == 80 #不管端口是来源的还是目标的都显示
tcp.port eq 80 or udp.port eq 80
tcp.dstport == 80 #只显tcp协议的目标端口80
tcp.srcport == 80 #只显tcp协议的来源端口80
tcp.port >= 1 and tcp.port <= 80 #过滤端口范围

2、过滤MAC
太以网头过滤
eth.dst == E4:D5:3D:A2:64:95 #过滤目标MAC
eth.src eq E4:D5:3D:A2:64:95 #过滤来源MAC
eth.addr eq E4:D5:3D:A2:64:95 #过滤来源MAC和目标MAC都等于A0:00:00:04:C5:84的
!eth.addr==e4:d5:3d:a2:64:95 #忽略MAC

3、过滤IP
ip.src == 192.168.0.104 过滤ip为192.168.0.104

4、包长度过滤
udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和
tcp.len >= 7 指的是ip数据包(tcp下面那块数据),不包括tcp本身
ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后
frame.len == 119 整个数据包长度,从eth开始到最后
eth —> ip or arp —> tcp or udp —> data

5、http模式过滤
http.request.method == GET
http.request.method == POST
http.request.uri == “/img/logo-edu.gif”
http contains “GET”
http contains “HTTP/1.”

6、DHCP
以寻找伪造DHCP服务器为例，在显示过滤器中加入过滤规则，
显示所有非来自DHCP服务器并且bootp.type==0x02（Offer/Ack/NAK）的信息：
bootp.type==0x02 and not ip.src==192.168.1.1