專注搜索競價(jià)代運(yùn)營

成長之選 ,效果之道!

免費(fèi)咨詢熱線:17636682598

wireshark過濾規(guī)則有哪些

一、IP過濾:包括來源IP或者目標(biāo)IP等于某個(gè)IP二、端口過濾:三、協(xié)議過濾:tcp四、包長度過濾:六、連接符 and / or七、表達(dá)式:!(arp.src==192.168.1.1) and !(arp.dst.proto_ipv4==

wireshark過濾規(guī)則有哪些

一、IP過濾:包括來源IP或者目標(biāo)IP等于某個(gè)IP

二、端口過濾:

三、協(xié)議過濾:tcp

四、包長度過濾:

六、連接符 and / or

七、表達(dá)式:!(arp.src==192.168.1.1) and !(arp.dst.proto_ipv4==192.168.1.243)

八、expert.message是用來對info信息過濾,主要配合contains來使用

使用wireshark常用的過濾命令

1.過濾源ip、目的ip。在wireshark的過濾規(guī)則框Filter中輸入過濾條件。如查找目的地址為192.168.101.8的包,ip.dst192.168.101.8;查找源地址為ip.src1.1.1.1;

2.端口過濾。如過濾80端口,在Filter中輸入,tcp.port80,這條規(guī)則是把源端口和目的端口為80的都過濾出來。使用tcp.dstport80只過濾目的端口為80的,tcp.srcport==80只過濾源端口為80的包;

3.協(xié)議過濾比較簡單,直接在Filter框中直接輸入?yún)f(xié)議名即可,如過濾HTTP的協(xié)議;

4.http模式過濾。如過濾get包,http.request.method==“GET”,過濾post包,http.request.method==“POST”;

5.連接符and的使用。過濾兩種條件時(shí),使用and連接,如過濾ip為192.168.101.8并且為http協(xié)議的,ip.src==192.168.101.8 and http。

wireshark過濾器表達(dá)式

1. 關(guān)鍵字

“與”:“eq” 和 “==”等同,可以使用 “and” 表示并且,

“或”:“or”表示或者。

“非”:“!" 和 "not” 都表示取反。

多組條件聯(lián)合過濾數(shù)據(jù)包的命令,就是通過每個(gè)單個(gè)的條件命令與關(guān)鍵字“與或非”的組合實(shí)現(xiàn)的。

2. 針對ip的過濾

針對wireshark最常用的自然是針對IP地址的過濾。其中有幾種情況:

(1)對源地址為192.168.0.1的包的過濾,即抓取源地址滿足要求的包。

表達(dá)式為:ip.src == 192.168.0.1

(2)對目的地址為192.168.0.1的包的過濾,即抓取目的地址滿足要求的包。

表達(dá)式為:ip.dst == 192.168.0.1

(3)對源或者目的地址為192.168.0.1的包的過濾,即抓取滿足源或者目的地址的ip地址是192.168.0.1的包。

表達(dá)式為:ip.addr == 192.168.0.1,本表達(dá)式的等價(jià)表達(dá)式為

ip.src == 192.168.0.1or ip.dst == 192.168.0.1

(4)要排除以上的數(shù)據(jù)包,我們只需要將其用括號囊括,然后使用 "!" 即可。

表達(dá)式為:!(表達(dá)式)

3. 針對協(xié)議的過濾

(1)僅僅需要捕獲某種協(xié)議的數(shù)據(jù)包,表達(dá)式很簡單僅僅需要把協(xié)議的名字輸入即可。

表達(dá)式為:http

問題:是否區(qū)分大小寫?答:區(qū)分,只能為小寫

(2)需要捕獲多種協(xié)議的數(shù)據(jù)包,也只需對協(xié)議進(jìn)行邏輯組合即可。

表達(dá)式為:http or telnet (多種協(xié)議加上邏輯符號的組合即可)

(3)排除某種協(xié)議的數(shù)據(jù)包

表達(dá)式為:not arp 或者 !tcp

4. 針對端口的過濾(視傳輸協(xié)議而定)

(1)捕獲某一端口的數(shù)據(jù)包

表達(dá)式為:tcp.port == 80 (以tcp協(xié)議為例)

(2)捕獲多端口的數(shù)據(jù)包,可以使用and來連接,下面是捕獲高于某端口的表達(dá)式

表達(dá)式為:udp.port >= 2048 (以udp協(xié)議為例)

5. 針對長度和內(nèi)容的過濾

(1)針對長度的過慮(這里的長度指定的是數(shù)據(jù)段的長度)

表達(dá)式為:udp.length < 30 http.content_length <=20

(2)針對數(shù)據(jù)包內(nèi)容的過濾

表達(dá)式為:http.request.urimatches "vipscu" (匹配http請求中含有vipscu字段的請求信息)

6. 進(jìn)階

通過以上的最基本的功能的學(xué)習(xí),如果隨意發(fā)揮,可以靈活應(yīng)用,就基本上算是入門了。以下是比較復(fù)雜的實(shí)例(來自wireshark圖解教程):

tcp dst port3128

顯示目的TCP端口為3128的封包。

ip src host10.1.1.1

顯示來源IP地址為10.1.1.1的封包。

host 10.1.2.3

顯示目的或來源IP地址為10.1.2.3的封包。

src portrange2000-2500

顯示來源為UDP或TCP,并且端口號在2000至2500范圍內(nèi)的封包。

not imcp

顯示除了icmp以外的所有封包。(icmp通常被ping工具使用)

src host10.7.2.12 and not dst net 10.200.0.0/16

顯示來源IP地址為10.7.2.12,但目的地不是10.200.0.0/16的封包。

(src host10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net10.0.0.0/8

顯示來源IP為10.4.1.12或者來源網(wǎng)絡(luò)為10.6.0.0/16,目的地TCP端口號在200至10000之間,并且目的位于網(wǎng)絡(luò)10.0.0.0/8內(nèi)的所有封包。

wireshark 如何分析一個(gè)會話的時(shí)間長度

把當(dāng)次會話過濾出來,單獨(dú)保存。然后設(shè)置時(shí)間方式為deta類型,就可以了。

本文分類:營銷學(xué)院

瀏覽次數(shù):72次瀏覽

發(fā)布日期:2022-11-19 21:15:50

本文鏈接:http://24hourphotoeditor.com/edu/2487.html

上一篇:svchost是什么進(jìn)程
下一篇:返回列表