1.过滤IP，如来源IP或者目标IP等于某个IP

例子:
ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107
或者
ip.addr eq 192.168.1.107 // 都能显示来源IP和目标IP

linux上运行的wireshark图形窗口截图示例，其他过虑规则操作类似，不再截图。

ip.src eq 10.175.168.182

截图示例：

提示： 在Filter编辑框中，收入过虑规则时，如果语法有误，框会显红色，如正确，会是绿色。

2.过滤端口

例子:
tcp.port eq 80 // 不管端口是来源的还是目标的都显示
tcp.port == 80
tcp.port eq 2722
tcp.port eq 80 or udp.port eq 80
tcp.dstport == 80 // 只显tcp协议的目标端口80
tcp.srcport == 80 // 只显tcp协议的来源端口80

udp.port eq 15000

过滤端口范围
tcp.port >= 1 and tcp.port <= 80

3.过滤协议

例子:
tcp
udp
arp
icmp
http
smtp
ftp
dns
msnms
ip
ssl
oicq
bootp
等等

排除arp包，如!arp   或者   not arp

4.过滤MAC

太以网头过滤
eth.dst == A0:00:00:04:C5:84 // 过滤目标mac
eth.src eq A0:00:00:04:C5:84 // 过滤来源mac
eth.dst==A0:00:00:04:C5:84
eth.dst==A0-00-00-04-C5-84
eth.addr eq A0:00:00:04:C5:84 // 过滤来源MAC和目标MAC都等于A0:00:00:04:C5:84的
less than 小于 < lt 
小于等于 le
等于 eq
大于 gt
大于等于 ge
不等 ne

5.包长度过滤

例子:
udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和
tcp.len >= 7   指的是ip数据包(tcp下面那块数据),不包括tcp本身
ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后
frame.len == 119 整个数据包长度,从eth开始到最后

eth —> ip or arp —> tcp or udp —> data

6.http模式过滤

例子:
http.request.method == “GET”
http.request.method == “POST”
http.request.uri == “/img/logo-edu.gif”
http contains “GET”
http contains “HTTP/1.”
// GET包
http.request.method == “GET” && http contains “Host: “
http.request.method == “GET” && http contains “User-Agent: “
// POST包
http.request.method == “POST” && http contains “Host: “
http.request.method == “POST” && http contains “User-Agent: “
// 响应包
http contains “HTTP/1.1 200 OK” && http contains “Content-Type: “
http contains “HTTP/1.0 200 OK” && http contains “Content-Type: “
一定包含如下
Content-Type:

7.TCP参数过滤

tcp.flags 显示包含TCP标志的封包。
tcp.flags.syn == 0x02     显示包含TCP SYN标志的封包。
tcp.window_size == 0 && tcp.flags.reset != 1

8.包内容过滤

-----------------------------------------------
tcp[20]表示从20开始，取1个字符
tcp[20:]表示从20开始，取1个字符以上
注： 些两虚线中的内容在我的wireshark（linux）上测试未通过。
--------------------------------------------------

tcp[20:8]表示从20开始，取8个字符
tcp[offset,n]
udp[8:3]==81:60:03 // 偏移8个bytes,再取3个数，是否与==后面的数据相等？
udp[8:1]==32   如果我猜的没有错的话，应该是udp[offset:截取个数]=nValue
eth.addr[0:3]==00:06:5B
例子:
判断upd下面那块数据包前三个是否等于0x20 0x21 0x22
我们都知道udp固定长度为8
udp[8:3]==20:21:22
判断tcp那块数据包前三个是否等于0x20 0x21 0x22
tcp一般情况下，长度为20,但也有不是20的时候
tcp[8:3]==20:21:22
如果想得到最准确的，应该先知道tcp长度
matches(匹配)和contains(包含某字符串)语法
ip.src==192.168.1.107 and udp[8:5] matches “\\x02\\x12\\x21\\x00\\x22″        ------???--------
ip.src==192.168.1.107 and udp contains 02:12:21:00:22
ip.src==192.168.1.107 and tcp contains “GET”
udp contains 7c:7c:7d:7d 匹配payload中含有0x7c7c7d7d的UDP数据包，不一定是从第一字节匹配。
--------------------------------------不理解Begin------------------------------------------------------------------------------------
例子:
得到本地qq登陆数据包(判断条件是第一个包==0x02,第四和第五个包等于0x00x22,最后一个包等于0x03)
0x02 xx xx 0x00 0x22 … 0x03
如何拼写过虑条件？？？
    
udp[11:2]==00:00 表示命令编号为00:00
udp[11:2]==00:80 表示命令编号为00:80
当命令编号为00:80时，QQ号码为00:00:00:00
得到msn登陆成功账号(判断条件是”USR 7 OK “,即前三个等于USR，再通过两个0x20，就到OK,OK后面是一个字符0x20,后面就是mail了)
USR xx OK mail@hotmail.com
正确
msnms and tcp and ip.addr==192.168.1.107 and tcp[20:] matches “^USR\\x20[\\x30-\\x39]+\\x20OK\\x20[\\x00-\\xff]+”
-------------------------------------不理解End---------------------------------------------------------------------------------------

9.dns模式过滤

10.DHCP

注意：DHCP协议的检索规则不是dhcp/DHCP， 而是bootp
以寻找伪造DHCP服务器为例，介绍Wireshark的用法。在显示过滤器中加入过滤规则，
显示所有非来自DHCP服务器并且bootp.type==0x02（Offer/Ack/NAK）的信息：
bootp.type==0x02 and not ip.src==192.168.1.1

11.msn

msnms && tcp[23:1] == 20 // 第四个是0x20的msn数据包
msnms && tcp[20:1] >= 41 && tcp[20:1] <= 5A && tcp[21:1] >= 41 && tcp[21:1] <= 5A && tcp[22:1] >= 41 && tcp[22:1] <= 5A
msnms && tcp[20:3]==”USR” // 找到命令编码是USR的数据包
msnms && tcp[20:3]==”MSG” // 找到命令编码是MSG的数据包
tcp.port == 1863 || tcp.port == 80
如何判断数据包是含有命令编码的MSN数据包?
1)端口为1863或者80,如:tcp.port == 1863 || tcp.port == 80
2)数据这段前三个是大写字母,如:
tcp[20:1] >= 41 && tcp[20:1] <= 5A && tcp[21:1] >= 41 && tcp[21:1] <= 5A && tcp[22:1] >= 41 && tcp[22:1] <= 5A
3)第四个为0x20,如:tcp[23:1] == 20
4)msn是属于TCP协议的,如tcp
MSN Messenger 协议分析
http://blog.csdn.net/Hopping/archive/2008/11/13/3292257.aspx
MSN 协议分析
http://blog.csdn.net/lzyzuixin/archive/2009/03/13/3986597.aspx
更详细的说明
<<wireshark过滤表达式实例介绍>>
http://www.csna.cn/viewthread.php?tid=14614
Wireshark 主界面的操作菜单中英对比
http://www.csna.cn/viewthread.php?tid=9645&extra=page=1

12. wireshark字符串过虑语法字符

如下内容转自：http://www.csna.cn/viewthread.php?tid=14614

类似正则表达式的规则。

1、wireshark基本的语法字符

eth.addr[0:3]==00:1e:4f 搜索过滤MAC地址前3个字节是0x001e4f的数据包。

wireshark过虑规则相关推荐

  1. Wireshark过滤规则及使用方法

    前言: 我看到的这篇文章是转载的,但我也不知道他是从哪转载的[/(ㄒoㄒ)/~~] 转自 Wireshark 基本语法,基本使用方法,及包过滤规则: 1.过滤IP,如来源IP或者目标IP等于某个IP ...

  2. wireshark过滤规则及过滤数据内容是否包含

    Wireshark 基本语法,基本使用方法,及包过滤规则,如果想在linux上进行抓包,可以使用tcpdump 先保存为cap文件,然后将cap下载到本地使用wireshark打开进行分析 1.过滤I ...

  3. 【转】wireshark过滤规则

    WireShark过滤语法 1.过滤IP,如来源IP或者目标IP等于某个IP 例子: ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107 或者 ip. ...

  4. wireshark 过滤器规则

    1.过滤 IP 如来源 IP 或目标 IP. 例子:ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107 或者ip.addr eq 192.168.1. ...

  5. 从零开始学习 wireshark过滤规则 8月19日

    正在学习nagios监控,详细学习一下配置这块,共享一下: 1.nagios默认配置文件介绍  nagios安装完毕后,默认的配置文件在/usr/local/nagios/etc目录下,每个文件或目录 ...

  6. Wireshark过滤规则筛选数据包

    一.IP过滤:包括来源IP或者目标IP等于某个IP 比如:ip.src addr192.168.0.208 or ip.src addr eq 192.168.0.208 显示来源IP ip.dst ...

  7. wireshark过滤规则详解

    过滤器有两种: 一种是显示过滤器,就是主界面上那个,用来在捕获的记录中找到所需要的记录 一种是捕获过滤器,用来过滤捕获的封包,以免捕获太多的记录. 在Capture -> Capture Fil ...

  8. wireshark全网过虑最全规则

    新增 过滤字符串: ip.src==192.168.30.11 and ip.dst==192.168.30.238 and http.request.uri contains "netsp ...

  9. 干货，Wireshark使用技巧-过滤规则

    "介绍Wireshark抓包时使用的过滤规则." 熟练使用Wireshark,对协议分析大有帮助.本文介绍抓取报文时使用的过滤规则和对已有报文的显示进行控制的显示规则. 01 - ...

最新文章

  1. 周鸿祎的“加法”和“减法”
  2. go与JAVA差异_20190312_浅谈gojava差异(二)
  3. python的format函数如何理解_python format函数的使用
  4. 深度学习（三十九）可视化理解卷积神经网络(2.0)
  5. WCF中的REST是什么
  6. HelloWorld Windows Live Writer
  7. Kerio Network Monitor
  8. python3 ValueError: The shape of the input to Flatten is not fully defined (got (0, 6, 80)
  9. 机器学习基石 作业0
  10. 腾讯云服务器安全组配置
  11. 计算机二级java大纲,计算机二级Java考试内容大纲
  12. 【VUE】在vue中使用google地图
  13. 秋在季节轮回里，你在思念绽放中
  14. 什么是软件维护？在软件已经交付使用后，为了改正错误或满足新需求而修改软件的过程。它有哪几种类型？
  15. 评估EtherCAT从站节点解决方案
  16. flex中换行符的使用
  17. TYPEC线改成OTG线制作
  18. 如何打破自恋幻觉 武志红
  19. 10年，20年后，你会是什么样子？
  20. Java实现调用默认浏览器打开网址

热门文章

  1. 抄2gua一篇文章提醒自己
  2. Vue集成Iframe页面
  3. BZOJ 2592 随机化（伪）
  4. LIst和map的遍历
  5. POJ3982 序列
  6. Zabbix监控之常用snmp-OID
  7. CentOS下查看已经登录用户并踢出的方法
  8. 使用StateServer机制来解决session丢失而造成用户验证失败
  9. 42.虚拟内存如何设置:
  10. 一起学Windows phone 7开发（四. DeepZoom）