Wireshark使用指南之显示过滤器

一.协议过滤器
arp:显示所有ARP流量，包括免费ARP，ARP请求和ARP应答。
ip
ipv6
tcp

二.应用过滤器
bootp:显示所有DHCP流量(基于BOOTP)；
dns:显示所有DNS流量，包括基于TCP传输和UDP的DNS请求和响应；
tftp:显示所有TFTP(简单文件传输协议)流量；
http:显示所有HTTP命令，响应和数据传输包。
icmp

三.字段存在过滤器
bootp.option.hostname 显示所有DHCP流量，包含主机名；
http.host 显示所有包含有HTTP主机名字段的HTTP包。该包通常是由客户端发送给一个web服务器的请求。
ftp.request.command 显示所有FTP命令数据，如USER,PASS,RETR命令。

四.特有的过滤器
tcp.analysis.flags 显示所有与TCP标识相关的包，包括丢包，重发或者零窗口标志；
tcp.analysis.zero_window 显示被标志的包，来表示发送方的缓冲空间已满；

五.识别字段名
过滤器中输入http.request.method 显示包含该字段的所有包；

六.过滤显示HTTP

通常分析一个HTTP包时，需要分未两个阶段，首先是通过TCP三次握手建立连接，然后再发生HTTP GET请求，才可连接到Web服务器。
过滤条件: HTTP || tcp.port == 80
当客户端与Web服务器通过TCP三次握手建立连接时，使用的是TCP协议的80端口。

七.地址过滤
1.显示单个地址或主机数据
ip.src 表示捕获源IPv4地址的数据。
ip.dst 表示捕获目标IPv4地址的数据。
ip.host 表示到达/来自解析某个网站后IPv4地址的数据。
如:ip.host == www.baidu.com
ip.addr 表示到达/来自IPv4地址的数据。
(ipv6类似)

2.显示一个子网IP的数据
可以使用CIDR格式使用ip.addr字段名定义一个子网过滤器。
ip.addr==192.168.0.0/24

3.过滤显示单一的TCP/UDP会话
想要分析一个客户端应用程序和一个服务器进程的会话时，可以通过过滤单一的TCP/UDP会话实现。
3.1使用Conversation Filter–>TCP命令
在Packet List面板中右击任何一个包，并依次选择Conversation Filter–>TCP命令。
可以使用同样的方法，过滤基于IP地址，以太网或UDP地址/端口号结合的一个会话。

3.2 Follow TCP/UDP Stream命令
一个会话中查看应用程序命令和数据交换。在Packet List面板中右击任何一个包，并依次选择Follow TCP/UDP Stream。

4.使用复杂表达式过滤
&& and
|| or
! not
!= ne
如:tcp.flags.syn != 1 表示查看TCP SYN标志位不是1的TCP数据帧。

Wireshark使用指南之显示过滤器相关推荐

Wireshark网络分析实战笔记（二）显示过滤器
转自:彬彬在线显示过滤表达式中操作符: == eq 等于 != ne 不等于 > gt 高于 < lt 低于 >= ge 不高于 <= le 不低于 contains 包 ...
Wireshark捕获过滤器和显示过滤器
wireshark过滤器分为两种,显示过滤器和捕获过滤器.显示过滤器指的是针对已经捕获的报文,使用过滤器语法过滤出符合规则的报文.捕获过滤器指的是提前设置好过滤规则,只捕获符合过滤规则的报文.显示过滤 ...
Wireshark使用（捕获过滤器、显示过滤器、TCP交互抓包示例、抓取本地回环数据包等）
1.捕获过滤器规则 1.1 作用捕获过滤器在开始捕捉之前设置,用于从源头控制被过滤的包内容,仅符合规则的包会被捕获并记录进捕获日志文件. 1.2 语法规则字段:[Protocol][Direc ...
Wireshark学习十：应用Wireshark显示过滤器分析特定数据流（下）
转载请在文首保留原文出处:EMC中文支持论坛https://community.emc.com/go/chinese 介绍掌握显示过滤器对于网络分析者来说是一项必备的技能.这是一项大海捞针的技巧. ...
Wireshark的捕捉过滤器和显示过滤器
Wireshark两种过滤器使用的语法是完全不同的.我们将在接下来的几页中对它们进行介绍: 1. 捕捉过滤器捕捉过滤器的语法与其它使用Lipcap(Linux)或者Winpcap(Windows)库 ...
wireshark 捕捉过滤器和显示过滤器的区别及各自的用法
同:捕捉过滤器和显示过滤器同样面临首要的问题是选择,选择捕捉或显示那些数据. 异: 捕捉过滤器 (此过滤器不需要比较运算符,查询关键字请全部小写) 捕捉过滤器是数据经过的第一层过滤器,它用于控制捕捉数 ...
抓包工具Wireshark使用教程：抓包、捕获/显示过滤器、表达式、追踪流
Wireshark是一款非常流行的网络抓包分析软件,功能十分强大.可以截取各种网络封包,显示网络封包的详细信息.wireshark是非常流行的网络封包分析软件,功能十分强大.使用wireshark的人 ...
【转】Wireshark网络抓包(二)——过滤器
转自:https://www.cnblogs.com/strick/p/6261915.html 一.捕获过滤器选中捕获选项后,就会弹出下面这个框,在红色输入框中就可以编写过滤规则. 1)捕获单个I ...
Wirshark 显示过滤器
二层显示过滤: eth.addr==<MAC Address>:只显示具有指定mac地址 eth.src==<MAC Address>:只显示具有指定源MAC地址的数据帧 et ...

Wireshark使用指南之显示过滤器

Wireshark使用指南之显示过滤器

Wireshark使用指南之显示过滤器相关推荐

最新文章

热门文章