wireshark 實用過濾表達式（針對ip、協議、端口、長度和內容

 

 

 

針對wireshark最經常使用的天然是針對IP地址的過濾。其中有幾種狀況：
（1）對源地址爲192.168.0.1的包的過濾，即抓取源地址知足要求的包。
表達式爲：ip.src == 192.168.0.1

（2）對目的地址爲192.168.0.1的包的過濾，即抓取目的地址知足要求的包。
表達式爲：ip.dst == 192.168.0.1

（3）對源或者目的地址爲192.168.0.1的包的過濾，即抓取知足源或者目的地址的ip地址是192.168.0.1的包。
表達式爲：ip.addr == 192.168.0.1,或者 ip.src == 192.168.0.1 or ip.dst == 192.168.0.1

（4）要排除以上的數據包，咱們只須要將其用括號囊括，而後使用 "!" 便可。
表達式爲：!(表達式)

 

針對協議的過濾
（1）僅僅須要捕獲某種協議的數據包，表達式很簡單僅僅須要把協議的名字輸入便可。
表達式爲：http

（2）須要捕獲多種協議的數據包，也只需對協議進行邏輯組合便可。
表達式爲：http or telnet （多種協議加上邏輯符號的組合便可）

（3）排除某種協議的數據包
表達式爲：not arp , !tcp

 

針對端口的過濾（視協議而定）
（1）捕獲某一端口的數據包
表達式爲：tcp.port == 80

（2）捕獲多端口的數據包，能夠使用and來鏈接，下面是捕獲高端口的表達式
表達式爲：udp.port >= 2048

 

針對長度和內容的過濾
（1）針對長度的過慮（這裏的長度指定的是數據段的長度）
表達式爲：udp.length < 30 http.content_length <=20

（2）針對數據包內容的過濾
表達式爲：http.request.uri matches "vipscu" （匹配http請求中含有vipscu字段的請求信息）

 

https://blog.csdn.net/liangzhao_jay/article/details/80818194