ARP協議全面實戰手冊1.1.2設置過濾器

ARP協議全面實戰手冊1.1.2設置過濾器

若是使用Wireshark捕獲數據包時，默認捕獲全部協議的數據包。若是接收到的數據包過多時，想要查看本身想看的數據包，可能很是困難。幸運的是，Wireshark工具能夠經過建立過濾器的方式，實現數據包過濾。下面將介紹Wireshark工具的過濾器使用規則。本文選自《ARP協議全面實戰手冊——協議詳解、攻擊與防護（大學霸）》

在Wireshark工具中提供了兩種過濾器，分別是捕捉過濾器和顯示過濾器。首先來看下這兩種過濾器的區別。

q  捕捉過濾器：用來決定將什麼樣的信息記錄在捕捉結果中。須要在開始捕捉前設置。

q  顯示過濾器：在捕捉結果中進行詳細查找。用戶能夠在獲得捕捉結果後隨意修改。

從概念上來講，兩種過濾器的目的是不一樣的。捕捉過濾器是數據通過的第一層過濾器，它用於控制捕捉數據的數量，以免產生過大的日誌文件。顯示過濾器是一種更爲強大（複雜）的過濾器。它容許用戶在日誌文件中迅速準確地找到所須要的記錄。並且這兩種過濾器使用的語法是徹底不一樣的。

下面分別介紹這兩種過濾器的語法及使用方法。

1.捕捉過濾器

捕捉過濾器的語法格式以下所示：

Protocol  Direction  Host(s)  Value  Logical Operations  Other expression

以上語法中各選項含義以下所示：

q  Protocol（協議）：該選項用來指定協議。可以使用的值有ether、fddi、ip、arp、rarp、decnet、lat、sca、moproc、mopdl、tcp、dup。若是沒有特別指明是什麼協議，則默認使用全部支持的協議。

q  Direction（方向）：該選項用來指定來源或目的地，默認使用src or dst做爲關鍵字。該選項可以使用的值有：src、dst、src and dst、src or dst。

q  Host（s）：指定主機地址。若是沒有指定，默認使用host關鍵字。可能使用的值有net、port、host、portrange。

q  Logical Operations（邏輯運算）：該選項用來指定邏輯運算符。可能使用的值有not、and、or。其中，not（否）具備最高的優先級；or（或）和and（與）具備相同的優先級，運算時從左至右進行。

設置捕捉過濾器的步驟以下所示：

（1）在Wireshark主界面的工具欄中依次選擇Capture|Options命令，將顯示如圖1.5所示的界面。

圖1.5  添加過濾條件

在該界面Capture Filter對應的文本框中添加過濾條件，而後單擊Start按鈕，將開始捕獲數據。《ARP協議全面實戰手冊——協議詳解、攻擊與防護（大學霸）》