Wireshark常用过滤器表达式汇总

简介: 【7月更文挑战第6天】Wireshark 抓包和显示过滤器用于精确定位网络流量。

1、抓包过滤器语法和实例

抓包过滤器类型Type(host、net、port)、方向Dir(src、dst)、协议Proto(ether、ip、tcp、udp、http、icmp、ftp等)、逻辑运算符(&&与、|| 或、!非)

1.  协议过滤

比较简单,直接在抓包过滤框中直接输入协议名即可。

只显示TCP协议的数据包列表

tcp

只查看HTTP协议的数据包列表

http

只显示ICMP协议的数据包列表

icmp
2.  IP过滤

过滤主机为192.168.1.104的数据包

host 192.168.1.104

过滤源主机为192.168.1.104的数据包

src host 192.168.1.104

过滤目的主机为192.168.1.104的数据包

dst host 192.168.1.104
3.  端口过滤

过滤端口为80的数据包

port 80

过滤源端口为80的数据包

src port 80

过滤目的端口为80的数据包

dst port 80
4.  逻辑运算符&&与、|| 或、!非

抓取主机地址为192.168.1.80、目的端口为80的数据包

src host 192.168.1.104 && dst port 80

抓取主机为192.168.1.104或者192.168.1.102的数据包

host 192.168.1.104 || host 192.168.1.102

不抓取广播数据包

!broadcast

2、 显示过滤器语法和实例

1.  比较操作符

比较操作符有

== 等于、!= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于

2.  协议过滤

比较简单,直接在Filter框中直接输入协议名即可。注意:协议名称需要输入小写。

只显示TCP协议的数据包列表

tcp

只查看HTTP协议的数据包列表

http

只显示ICMP协议的数据包列表

icmp

3.  ip过滤

显示源地址为112.53.42.42的数据包列表

ip.src ==112.53.42.42

显示目标地址为112.53.42.42的数据包列表

ip.dst==112.53.42.42

显示源IP地址或目标IP地址为112.53.42.42的数据包列表

ip.addr == 112.53.42.42

4.  端口过滤

显示源主机或者目的主机端口为80的数据包列表

tcp.port ==80

只显示TCP协议的源主机端口为80的数据包列表

tcp.srcport == 80

只显示TCP协议的目的主机端口为80的数据包列表

tcp.dstport == 80

5.  http模式过滤

 只显示HTTP GET方法的

http.request.method=="GET"

6.  逻辑运算符为 and/or/not

过滤多个条件组合时,使用and/or。

比如获取IP地址为192.168.0.104的ICMP数据包表达式为

ip.addr == 192.168.0.104 and icmp

7.  按照数据包内容过滤

假设我要以ICMP层中的内容进行过滤,可以单击选中界面中的码流,在下方进行选中数据。

右键单击选中后出现如下界面

选中后在过滤器中显示如下

后面条件表达式就需要自己填写。如下我想过滤出data数据包中包含"abcd"内容的数据流。关键词是contains,完整条件表达式为

data contains "abcd"

3、常见用显示过滤需求及其对应表达式

1.  数据链路层

筛选mac地址为04:f9:38:ad:13:26的数据包

eth.src == 04:f9:38:ad:13:26

筛选源mac地址为04:f9:38:ad:13:26的数据包-

eth.src == 04:f9:38:ad:13:26
2.  网络层

筛选ip地址为192.168.1.1的数据包

ip.addr == 192.168.1.1

筛选192.168.1.0网段的数据

ip contains "192.168.1"
3.  传输层

筛选端口为80的数据包

tcp.port == 80

筛选12345端口和80端口之间的数据包

tcp.port == 12345 && tcp.port == 80

筛选从12345端口到80端口的数据包

tcp.srcport == 12345 && tcp.dstport == 80
4.  应用层

特别说明: http中http.request表示请求头中的第一行(如GET index.jsp HTTP/1.1) http.response表示响应头中的第一行(如HTTP/1.1 200 OK),其他头部都用http.header_name形式。

筛选url中包含.php的http数据包

http.request.uri contains ".php"

筛选内容包含username的http数据包

http contains "username"
相关文章
|
安全 开发工具 git
CTF工具隐写分离神器Binwalk安装和详细使用方法
CTF工具隐写分离神器Binwalk安装和详细使用方法
3863 0
|
安全 关系型数据库 MySQL
|
12月前
|
SQL 安全 关系型数据库
SQL自动化注茹-SQLmap入门操作(二)
SQL自动化注茹-SQLmap入门操作(二)
|
网络协议
wireshark过滤条件
wireshark过滤条件
1017 0
|
网络协议
wireshark 显示过滤表达式
wireshark 显示过滤表达式
199 9
|
网络协议 网络安全 网络架构
这几种Wireshark顶级过滤方法,简直是网工的最爱!
这几种Wireshark顶级过滤方法,简直是网工的最爱!
592 0
|
11月前
|
运维 监控 安全
|
11月前
|
缓存 应用服务中间件 网络安全
如何使用OCSP进行证书验证
如何使用OCSP进行证书验证
463 4