wireshark工具及过滤语法

Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。


捕捉过滤器 (此过滤器不需要比较运算符，查询关键字请全部小写)
1. tcp dst port 3128    #显示目的TCP端口为3128的封包。 
2. Ip src host10.1.1.1       #显示来源IP地址为10.1.1.1的封包。
3. Host 10.1.2.3         #显示目的或来源IP地址为10.1.2.3的封包。
4. Src portrange 2000-2500
      #显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。
5. Not imcp  --同样于显示过滤器
显示除了icmp以外的所有封包。（icmp通常被ping工具使用）
6. src host 10.7.2.12 and not dst net10.200.0.0/16
显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。
(src host 10.4.1.12 or src net10.6.0.0/16) and tcp dst portrange200-10000 and dst net10.0.0.0/8
显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络10.0.0.0/8内的所有封包。
--------------------------------------------------

filter:dns||icmp||tcp  #显示dns,icmp,tcp数据包
---------ip过滤------------
ip.dst==192.168.1.1||ip.src==192.168.1.2  #目的地址，源地址
ip.addr==192.168.1.1   #显示源或目的为192.168.1.1的包
ip.src != 10.1.2.3 or ip.dst != 10.4.5.6
#。显示来源不为10.1.2.3或者目的不为10.4.5.6的封包

----------端口过滤-------------
tcp.port==80                #过滤80
tcp.dstport==80             #过滤目的80
tcp.srcport==80             #过滤源80
---------http模式过滤---------
http.request.method=="GET"     #过滤get包
http.request.method=="POST"    #过滤post包

tcp.port>=1 and tcp.port<=80    #过滤端口范围

!icmp                           #显示icmp之外的其他包
---------------------------
Logical expressions（逻辑运算符）:
英文写法： C语言写法： 含义：

and              &&               逻辑与

or                 ||                逻辑或

xor               ^^                逻辑异或

not              !                   逻辑非

-----------------------------------------
6种比较运算符：


英文写法： C语言写法： 含义：

eq               ==                等于

ne               !=                不等于

gt                >                 大于

lt                 <                 小于

ge               >=               大于等于

le                <=               小于等于

------------------------------------------------
各行信息分别为：


Frame:   物理层的数据帧概况

Ethernet II: 数据链路层以太网帧头部信息

Internet Protocol Version 4: 互联网层IP包头部信息

Transmission Control Protocol:  传输层T的数据段头部信息，此处是TCP

Hypertext Transfer Protocol:  应用层的信息，此处是HTTP协议

---------------------------------------------------------
http.request.uri matches “.gif$” 匹配过滤HTTP的请求URI中含有”.gif”字符串，并且以.gif结尾（4个字节）的http请求数据包（$是正则表达式中的结尾表示符）
注意区别：http.request.uri contains “.gif$” 与此不同，contains是包含字符串”.gif$”（5个字节）。匹配过滤HTTP的请求URI中含有”.gif$”字符串的http请求数据包（这里$是字符，不是结尾符）

eth.addr[0:3]==00:1e:4f 搜索过滤MAC地址前3个字节是0x001e4f的数据包。
-------------------------------------------------------

一、IP过滤：包括来源IP或者目标IP等于某个IP比如：ip.src eq 192.168.10.130  or ip.src addr eq 192.168.0.208 显示来源IP        ip.dst addr==192.168.0.208  or ip.dst addr eq 192.168.0.208 显示目标IP

二、端口过滤：比如：tcp.port eq 80 // 不管端口是来源的还是目标的都显示        tcp.port == 80        tcp.port eq 2722        tcp.port eq 80 or udp.port eq 80        tcp.dstport == 80 // 只显tcp

协议的目标端口80      tcp.srcport == 80 // 只显tcp协议的来源端口80过滤端口范围tcp.port >= 1 and tcp.port <= 80


三、协议过滤：tcpudparpicmphttpsmtpftpdnsmsnmsipssl等等排除ssl包，如!ssl 或者  not ssl


四、包长度过滤：比如：udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和tcp.len >= 7  指的是ip数据包(tcp下面那块数据),不包括tcp本身ip.len == 94 除了以太网头固定长度14,其它都算


是ip.len,即从ip本身到最后frame.len == 119 整个数据包长度,从eth开始到最后


五、http模式过滤：例子:http.request.method == “GET”http.request.method == “POST”http.request.uri == “/img/logo-edu.gif”http contains “GET”http contains “HTTP/1.”// GET包


http.request.method == “GET” && http contains “Host: ”http.request.method == “GET” && http contains “User-Agent: ”// POST包http.request.method == “POST” && http contains “Host: 


”http.request.method == “POST” && http contains “User-Agent: ”// 响应包http contains “HTTP/1.1 200 OK” && http contains “Content-Type: ”http contains “HTTP/1.0 200 OK” && http 
contains “Content-Type: ”一定包含如下Content-Type:


六、连接符 and / or


七、表达式：!(arp.src==192.168.1.1) and !(arp.dst.proto_ipv4==192.168.1.243)