wireshark 如何去除重复的包_wireshark过滤重复、TCP重传、HTTP握手数据包

1、过滤http握手的空报文

使用wireshark打开pcap包，通过条件过滤数据长度为0的包，命令如下：

tcp.len > 0

2、过滤重复数据包

使用cmd命令窗口，进入wireshark安装目录，找到editcap.exe程序。执行editcap.exe -d命令，指定源文件(d:\input.pcap)和目标文件(d:\output.pcap)，命令如下：

C:\Program Files\Wireshark>editcap.exe -d d:\input.pcap d:\output.pcap

3、过滤TCP重传数据包

使用wireshark打开pcap包，通过条件过滤tcp.analysis.retransmission的包，命令如下：

http && !(tcp.analysis.retransmission)

4、过滤TCP解析错误数据包

使用wireshark打开pcap包，通过条件过滤TCP重传，乱序，丢包，重复响应的包，命令如下：

tcp.analysis.flags && !tcp.analysis.window_update

5、常规过滤

过滤源ip、目的ip

ip.dst==192.168.101.8 #查找目的地址为192.168.101.8的包

ip.src==1.1.1.1 #查找源地址为1.1.1.1 的包

端口过滤

tcp.port==80 #把源端口和目的端口为80的都过滤出来

tcp.dstport==80 #只过滤目的端口为80的

tcp.srcport==80 #只过滤源端口为80的包

协议过滤

arp #ARP协议

icmp || icmpv6 #ICMP协议

smb || nbss || nbns || nbipx || ipxsap || netbios #Server Message Block类协议

http || tcp.port == 80 || http2 #HTTP协议，这是很简陋的识别方法

tcp.flags & 0x02 || tcp.flags.fin == 1 #TCP连接的起始和关闭报文

hsrp || eigrp || ospf || bgp || cdp || vrrp || carp || gvrp || igmp || ismp #路由类协议

eth.fcs_bad==1 || ip.checksum_bad==1 || tcp.checksum_bad==1 || udp.checksum_bad==1 || sctp.checksum_bad==1 || mstp.checksum_bad==1 || cdp.checksum_bad==1 || edp.checksum_bad==1 || wlan.fcs_bad==1 #条件中的各类协议的checksum异常

! ip.dst == 224.0.0.0/4 && ip.ttl < 5 && !pim) || (ip.dst == 224.0.0.0/24 && ip.dst != 224.0.0.251 && ip.ttl != 1 && !(vrrp || carp) #TTL异常报文

tcp.flags.reset eq 1 #TCP流被RESET报文

icmp.type eq 3 || icmp.type eq 4 || icmp.type eq 5 || icmp.type eq 11 || icmpv6.type eq 1 || icmpv6.type eq 2 || icmpv6.type eq 3 || icmpv6.type eq 4 #ICMP协议错误，协议的type字段值错误报文

http模式过滤

http.request.method=="GET" #过滤get请求的包

http.request.method=="POST" #过滤post请求的包

两个过滤条件连接符and的使用

ip.src==192.168.101.8 and http #过滤ip为192.168.101.8并且为http协议