Wireshark通过颜色标识不同类型的报文，黑色代表错误，红色代表异常，其他颜色表示正常。关键规则包括：TCP解析错误、HSRP状态变化、生成树拓扑变更、OSPF状态改变、ICMP错误、ARP、TCP RST、SCTP ABORT、TTL异常、校验和错误、SMB、HTTP、IPX、DCERPC、路由协议、TCP连接状态及广播数据等。了解这些颜色含义能有效辅助网络分析。
“Wireshark色彩规则。”
在Wireshark主界面，报文会显示各种各样的颜色，它们表示不同的含义。这些颜色，是由色彩规则控制的。
对这些颜色进行适当的了解，对分析报文有很大帮助。
01
—
设置
色彩规则有两个入口，一个在报文上方的工具栏内，如图：
那个鲜艳的图标就是色彩规则的入口。
另一个是view-->coloring rules菜单。
点击进去即可看见所有的色彩规则的设置：
可以粗略地看到，黑色背景代表报文的各类错误，红色背景代表各类异常情景，其它颜色代表正常。
02
—
规则
本节对色彩规则的各默认项进行说明：
Bad TCP：tcp.analysis.flags && !tcp.analysis.window_update
即TCP解析出错，通常重传，乱序，丢包，重复响应都在此条规则的范围内。
HSRP State Change：hsrp.state != 8 && hsrp.state != 16
HSRP即热备份路由协议(Hot Standby Router Protocol)，这
最低0.47元/天 解锁文章
扫一扫
8381
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
