Wireshake的学习笔记

向阳-Y.

于 2022-03-11 13:01:53 发布

阅读量2.7k

点赞数

分类专栏：网络安全文章标签：学习 tcp/ip 网络

本文链接：https://blog.csdn.net/weixin_45951067/article/details/123421799

版权

网络安全专栏收录该内容

31 篇文章 4 订阅

订阅专栏

这篇文章详细解读了一个复杂的网络流量筛选条件，涉及IP源/目的地址匹配、特定TCP/UDP端口、HTTP POST请求、窗口大小限制以及HTTP头部信息检查。理解这些规则有助于在网络监控和安全分析中应用。

摘要由CSDN通过智能技术生成

(ip.src==192.168.1.1 || ip.dst == 192.168.2.2) && (http.request.method  == "POST")

(tcp.flags == 0x010 || udp.srcport == 80 || tcp.dstport ==80 )&&(tcp.window_size==64800 || http contains "OK" || ip.addr == 192.168.1.1)

以上表达式含义解释

|| 等于 or
&& 等于 and

ip.src表示取Source的地址（原地址）
在这里插入图片描述
ip.dst作用与ip.src相反，取得是Destination（目的地址）

还有一条表达式ip.addr，这个就表示取src和dst中出现过该IP的都将被筛选出来

http.request.method == "POST"表示筛出HTTP请求方式为POST，相应的当然也有GET
在这里插入图片描述
tcp.port == 80表示使用tcp连接的端口为80的数据包，同时还可以使用tcp.srcport = = 80来筛选来源端口为80的数据包

tcp.flags == 0x010表示筛选tcp协议中存在Flags值为0x010的包
在这里插入图片描述
tcp.window_size == 64800 和tcp.flags使用同理

http contains "HTTP/1.1 200 OK"表示再http的请求头中包含HTTP/1.1 200 OK的

在这里插入图片描述