Wireshark 捕获和显示过滤器

这篇文章介绍一下 Wireshark 的过滤器，Wireshark 过滤器分为 捕获过滤器 和 显示过滤器，学习它们可以帮助你更好抓取到想要的报文。

捕获过滤器是在报文抓取之前的一种过滤，可以指定抓取满足过滤条件的报文内容:

在 Wireshark 面板点击 选项->捕获出现的窗口下方 capture filter for selected interfaces 栏目即可填写捕获过滤器的过滤条件：

Berkeley Packet Filter，在设备驱动级别提供抓包过滤接口，多数抓包工具都支持此语法（tcpdump），expression 表达式由多个原语组成：

primitives 原语由名称或数字，以及描述它的多个限定词组成，qualifiers 限定词：

Type：设置数字或者名称所指的类型，例如host www.baidu.com
（1）host、port
（2）net，设定子网，如 net 192.168.0.0 mask 255.255.255.0 等价于 net 192.168.0.0/24
（3）portrange，设置端口范围，例如 portrange 6000-8000
Dir：设置网络出入方向，例如 dst port 80
（1）src、dst、src、src or dst、src and dst（src 表示源，dst 表示目标）
（2）ra、ta、addr1、addr2、addr3、addr4、（仅对 IEEE 802.11 Wireless LAN有效）
Proto：指定协议类型，例如 udp
ether、fddi、tr、wlan、ip、ip6、arp、rarp、decnet、tcp、udp、icmp、igmp、icmp、igrp、pim、ah、esp、vrrp
其他
（1）geteway：指明网关 IP 地址，等价于 ether host $ehost and not host $host
（2）broadcast：广播报文，例如ether broadcast 或者 ip broadcast
（3）multicast：多播报文，例如 ip multicast 或者 ip6 multicast
（4）less，greater小于或者大于。

原语运算符如：src or dst portrange 6000-8000 && tcp or ip6

捕获所有 TCP 中的 RST 报文
TCP[13]&4==4
抓取 HTTP GET 报文
port 80 and tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420，注意 47455420 是 ASCII 码的 16 进制，表示 'GET'，TCP 报文头可能不只 20 字节，data offset 提示了承载数据的偏移，但它以 4 字节为单位

以抓取 GET 请求为例，点击 捕获->选项，填入 port 80 and tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420 即可开始抓取 GET 相关的报文;

抓取到报文如下：

显示过滤器是对已经抓取的报文进行二次过滤，显示过滤器语法仅能适用于 Wireshark 工具,它的特点如下:

在 Wireshark 报文抓取栏目上方可以在显示过滤器中填写过滤条件：

会自动填入显示过滤器中;

英文	符号	含义说明
eq	==	等于，如 `ip.src == 10.0.0.4`
ne	!=	不等于，如 `ip.src != 10.0.14`
gt	>	大于，如`frame.len > 10`
lt	<	小于，如`frame.len < 128`
ge	>=	大于等于，如`frame.len ge 0x100`
le	<=	小于等于，如`frame.len <= 0x20`
contains		包含，如`sip.TO contains "a664"`
matches	~	正则匹配，如`host matches "acme\.(org\|com\|net)"`
bitwise_and	&	位与操作，如 `tcp.flags & 0x02`

类型	含义说明
Unsigned interger	无符号整型，如 `ip.len le 1500`
Signed integer	有符号整型，如 `有符号整型`
Boolean	布尔值，如 `tcp.flags.syn`（直接输入，无需比较）
Ethernet address	以 `、`、`-`或者`.`分隔的 `6` 字节地址，如`eth.dst==ff:ff:ff:ff:ff:ff`
IPv4 address	如 `ip.addr == 192.168.0.1`
IPv6 address	如 `ipv6.addr == ::1`
Text string	如 `http.request.uri == "https://www.wireshark.org/"`

英文	符号	含义说明
and	&&	逻辑与，如 `ip.src == 10.0.0.4 && tcp.flags.fin`
or	\|\|	逻辑或，如 `ip.src == 10.0.0.4 or ip.src == 192.168.10.1`
xor	^^	逻辑异或，如 `tr.dst[0:3] == 0.6.29 xor tr.src[0:3] == 0.6.29`
not	!	逻辑非，如 `not llc`
[n:m]		切片操作符，表示 `n` 是起始偏移量，`m` 是切片长度，如 `eth.src[0:3] == 00:00:83`
[n-m]		切片操作符，表示 `n` 是起始偏移量，`m` 是截止偏移量，如 `eth.src[1-2] == 00:83`
[:m]		切片操作符，表示从开始处至 `m` 截止偏移量，如 `eth.src[:4] == 00:00:83:00`
[m:]		切片操作符，表示 `m` 是起始偏移量，至字段结尾，如 `eth.src[4:] == 20:20`
[m]		切片操作符，表示取偏移量 `m` 处的字节，如 `eth.src[2] == 83`
[,]		切片操作符，表示使用逗号分割时，允许以上方式同时出现，如 `eth.src[0:3,1-2,:4,4:,2] == 00:00:83:00:83:00:00:83:00:20:20:83`
in		集合操作符，如 `tcp.port in {443 4430..4434}`，其中 `4430..4434` 表示一段端口号

扫码关注爱因诗贤

本站仅提供存储服务，所有内容均由用户发布，如发现有害或侵权内容，请点击举报。