Wireshark 捕获和显示过滤器

这篇文章介绍一下 Wireshark 的过滤器，Wireshark 过滤器分为 捕获过滤器 和 显示过滤器，学习它们可以帮助你更好抓取到想要的报文。

1.捕获过滤器（BPF 过滤器）

捕获过滤器是在报文抓取之前的一种过滤，可以指定抓取满足过滤条件的报文内容:

• 用于减少抓取的报文体积
  
• 使用 BPF 语法，功能相对有限
  

1.1 捕获过滤器使用方法

在 Wireshark 面板点击 选项->捕获出现的窗口下方 capture filter for selected interfaces 栏目即可填写捕获过滤器的过滤条件：

1.2 捕获过滤器（BPF）语法介绍

Berkeley Packet Filter，在设备驱动级别提供抓包过滤接口，多数抓包工具都支持此语法（tcpdump），expression 表达式由多个原语组成：

1.2.1 primitives 原语过滤

primitives 原语由名称或数字，以及描述它的多个限定词组成，qualifiers 限定词：

• Type：设置数字或者名称所指的类型，例如host www.baidu.com
  

• （1）host、port
  
• （2）net，设定子网，如 net 192.168.0.0 mask 255.255.255.0 等价于 net 192.168.0.0/24
  
• （3）portrange，设置端口范围，例如 portrange 6000-8000
  

• Dir：设置网络出入方向，例如 dst port 80
  

• （1）src、dst、src、src or dst、src and dst（src 表示源，dst 表示目标）
  
• （2）ra、ta、addr1、addr2、addr3、addr4、（仅对 IEEE 802.11 Wireless LAN有效）
  

• Proto：指定协议类型，例如 udp
  

• ether、fddi、tr、wlan、ip、ip6、arp、rarp、decnet、tcp、udp、icmp、igmp、icmp、igrp、pim、ah、esp、vrrp
  

• 其他
  1.2.2 原语运算符
  原语运算符如：src or dst portrange 6000-8000 && tcp or ip6
  

• （1）geteway：指明网关 IP 地址，等价于 ether host $ehost and not host $host
  
• （2）broadcast：广播报文，例如ether broadcast 或者 ip broadcast
  
• （3）multicast：多播报文，例如 ip multicast 或者 ip6 multicast
  
• （4）less，greater小于或者大于。
  

• 与：&& 或者 and
  
• 或：|| 或者 or
  
• 非：! 或者 not
  1.2.3 基于协议域过滤
  
• 捕获所有 TCP 中的 RST 报文
  

• TCP[13]&4==4
  

• 抓取 HTTP GET 报文
  

• port 80 and tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420，注意 47455420 是 ASCII 码的 16 进制，表示 'GET'，TCP 报文头可能不只 20 字节，data offset 提示了承载数据的偏移，但它以 4 字节为单位
  

1.2.4 捕获过滤抓取报文

以抓取 GET 请求为例，点击 捕获->选项，填入 port 80 and tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420 即可开始抓取 GET 相关的报文;

抓取到报文如下：

2.显示过滤器

显示过滤器是对已经抓取的报文进行二次过滤，显示过滤器语法仅能适用于 Wireshark 工具,它的特点如下:

• 对已经抓取到的报文过滤显示
  
• 功能强大
  

2.1 显示过滤器使用方法

在 Wireshark 报文抓取栏目上方可以在显示过滤器中填写过滤条件：

2.2 显示过滤器的过滤属性

• 任何在报文细节面板中解析出的字段名，都可以作为过滤属性
  

• 在 视图->内部->Supported Protocols里边，可以看到各字段名对应的属性名：
  
  
• 右键报文细节中字段点击 作为过滤器应用->选中：
  
  会自动填入显示过滤器中;
  
  

2.3 过滤值比较

2.4 过滤值类型

2.5 多条件组合符

2.6 使用函数过滤