Wirshark使用的关键就在于过滤出想要的数据包,下面介绍怎么过滤。

抓包过滤器

Wirshark有两种过滤器,一个是抓包过滤器,一个是显示过滤器,他们之间的区别在于抓包过滤器只抓取你设置的规则,同时丢弃其他信息,显示过滤器并不会丢弃信息,只是将不符合规则的数据隐藏起来而已。有时候一旦数据包被丢弃,这些数据包就无法在恢复回来。还有一个区别就是,捕捉过滤器必须在开始捕捉前设置完毕,这一点跟显示过滤器是不同的。

两种过滤器的目的也是不同的:

捕捉过滤器是数据经过的第一层过滤器,它用于控制捕捉数据的数量,以避免产生过大的日志文件。

显示过滤器是一种更为强大(复杂)的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。

说完区别,他们也是有共同点的,就是都遵循BPF语法。看到这里,你可能大概就能知道wireshark的套路了,想用好他,熟练的使用BPF是关键,下面只是介绍了两种过滤的流程,跟着步骤,谁都能完成特定的效果。但是给你一个新任务,你是否能快速过滤出想要的数据包呢?

使用演示

  1. 添加一条自定义的抓包规则

  2. 选择自定义的抓包规则

技巧_只抓协议头部参数的抓包过滤器

先看一个ICMP协议发包的特征,

  1. 发包

  2. 分析

    你会发现每一条数据包的这个位置都是00

  3. 解释

    知道协议的头部都是固定这个特征之后,我们就能完成一个根据协议头部字段的参数来自定义抓包过滤器,创建这类抓包过滤器的语法为:

  1. proto[offset:size(optional)]=value

语法对应的示意图:

  1. icmp[0:1]=0

这样就完成了一个只抓取ICMP响应的抓包过滤器规则,我实验过了,只能抓包ICMP的包。

  1. 常用只抓协议头的抓包过滤器规则
抓包过滤器规则 描述
icmp[0]=0 ICMP响应包
icmp[0:1]=8 ICMP请求包
icmp[0:1]=3、icmp[13]=2 ICMP目的主机不可达数据包,仅抓取TCP SYN标记的数据包
icmp[13]=18 仅抓取TCP SYN/ACK标记的数据包
icmp[13]=32 仅抓取TCP URG标记设置数据包

抓包过滤器语法规则解释

语法规则图示:

名词解释:

  • Protocol(协议)

    常用值: etherfddiiparprarpdecnetlatscamoprcmopdltcp and udp

    如果没有特别指明是什么协议,则默认使用所有支持的协议。

  • Direction(方向)

    常用值: srcdstsrc and dstsrc or dst

    如果没有特别指明来源或目的地,则默认使用 "src or dst" 作为关键字。

    例如:

  1. "host 10.2.2.2" "src or dst host 10.2.2.2" 相同
  • Host(s):

    常用值: netporthost portrange

    如果没有指定此值,则默认使用"host"关键字。

    例如:
  1. "src 10.1.1.1" "src host 10.1.1.1" 相同
  • Logical Operations(逻辑运算):

    常用值值:notandor

    否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级,运算时从左至右进行。

    例如:
  1. "not tcp port 3128 and tcp port 23" "(not tcp port 3128) and tcp port 23" 相同
  2. "not tcp port 3128 and tcp port 23" "not (tcp port 3128 and tcp port 23)" 不同

常见的抓包过滤器BPF

  1. 来源或目的地是指定地址的包
  2. host 192.168.0.123
  3. host www.taobao.com
  4. 范围内的包
  5. net 192.168.0.0/24
  6. or
  7. net 192.168.0.0 mask 255.255.255.0
  8. 抓取目的地是某范围的包
  9. dst net 192.168.0.0/24
  10. or
  11. dst net 192.168.0.0 mask 255.255.255.0
  12. 抓取来源是某范围的包
  13. src net 192.168.0.0/24
  14. or
  15. src net 192.168.0.0 mask 255.255.255.0
  16. 仅抓取DNS(端口是53)的包
  17. port 53
  1. tcp dst port 3128
  2. 显示目的TCP端口为3128的封包。
  3. ip src host 10.1.1.1
  4. 显示来源IP地址为10.1.1.1的封包。
  5. host 10.1.2.3
  6. 显示目的或来源IP地址为10.1.2.3的封包。
  7. src portrange 2000-2500
  8. 显示来源为UDPTCP,并且端口号在20002500范围内的封包。
  9. not imcp
  10. 显示除了icmp以外的所有封包。(icmp通常被ping工具使用)
  11. src host 10.7.2.12 and not dst net 10.200.0.0/16
  12. 显示来源IP地址为10.7.2.12,但目的地不是10.200.0.0/16的封包。
  13. (src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8
  14. 显示来源IP10.4.1.12或者来源网络为10.6.0.0/16,目的地TCP端口号在20010000之间,并且目的位于网络10.0.0.0/8内的所有封包。

显示过滤器

使用演示

在这里输入过滤语法,必须正确才会显示绿色。

显示过滤器语法规则解释

语法图示:

名词解释:

  • Protocol(协议)

    您可以使用大量位于OSI模型第2至7层的协议。(wireshark支持的协议介绍 https://www.wireshark.org/docs/dfref/)

    常用值: IPTCPDNSSSH

  • String1, String2 (可选项)

    协议的子类。

    点击相关父类旁的"+"号,然后选择其子类

  • Comparison operators (比较运算符)

    可以使用6种比较运算符

  • Logical expressions(逻辑运算符)



    举例:

    "tcp.dstport 80 xor tcp.dstport 1025"

    只有当目的TCP端口为80或者来源于端口1025(但又不能同时满足这两点)时,这样的封包才会被显示。

常见的显示过滤器BPF

  1. 只显示本地发出去的包
  2. ip.src==192.168.8.60
  3. 过滤从某地址发出的请求
  4. ip.src==192.168.8.60
  5. 过滤发送到某地址的请求
  6. ip.dst==192.168.8.60
  7. 过滤http协议
  8. http
  9. 过滤某地址
  10. http.request.uri=="/projectname/a.html"
  11. 过滤全地址(它与uri的区别是,包含host
  12. http.request.full_uri=="www.mydomain.com/projectname/a.html"
  1. snmp || dns || icmp 显示SNMPDNSICMP封包。
  2. ip.addr == 10.1.1.1
  3. 显示来源或目的IP地址为10.1.1.1的封包。
  4. ip.src != 10.1.2.3 or ip.dst != 10.4.5.6
  5. 显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。
  6. 换句话说,显示的封包将会为:
  7. 来源IP:除了10.1.2.3以外任意;目的IP:任意
  8. 以及
  9. 来源IP:任意;目的IP:除了10.4.5.6以外任意
  10. ip.src != 10.1.2.3 and ip.dst != 10.4.5.6
  11. 显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。
  12. 换句话说,显示的封包将会为:
  13. 来源IP:除了10.1.2.3以外任意;同时须满足,目的IP:除了10.4.5.6以外任意
  14. tcp.port == 25 显示来源或目的TCP端口号为25的封包。
  15. tcp.dstport == 25 显示目的TCP端口号为25的封包。
  16. tcp.flags 显示包含TCP标志的封包。
  17. tcp.flags.syn == 0x02 显示包含TCP SYN标志的封包。

Find文本匹配器

流量面板文本搜索

ctr + f 弹出搜索框

并且支持这几种匹配模式

Stream文本搜索



这里只支持普通的文本搜索;

总结_注意事项

  • 写表达式时关键字要转义
  1. 当使用关键字作为值时,需使用反斜杠“\”
  2. "ether proto \ip" (与关键字"ip"相同).
  3. 这样写将会以IP协议作为目标。
  4. "ip proto \icmp" (与关键字"icmp"相同).
  5. 这样写将会以ping工具常用的icmp作为目标。
  6. 可以在"ip""ether"后面使用"multicast""broadcast"关键字。
  7. 当您想排除广播请求时,"no broadcast"就会非常有用。
  • 辅助生存表达式

    mac os版打开的方式



    遇到一些陌生协议,想要写表达式的时候,可以打开这个工具,它把所有协议的参数选项,可用符号都列举出来了,在没有思路的时候,是个辅助好工具。

参考

https://biot.com/capstats/bpf.html

https://wiki.wireshark.org/CaptureFilters

https://openmaniak.com/cn/wireshark_filters.php

https://staight.github.io/2018/07/25/BPF过滤规则/

Wireshark的两种过滤器与BPF过滤规则的更多相关文章

  1. 微软引入了两种新的网络过滤系统,WFP和NDISfilter

    Windows 8是微软公司推出的最新的客户端OS,内部名称Windows NT 80.相对于Windows NT 5.x,其网络结构变化非常大,原有的TDI,NDIS系统挂接方法不再适用.在Wind ...

  2. Wireshark的基本使用——过滤器

    前言 网络上关于Wireshark的教程已有不少,博主就简单介绍一下Wireshark分析数据包时最重要的技巧之一的过滤器..一次性嗅探到的数据包有很多,想要高效地提取出你想要的数据包或者对某个数据包 ...

  3. 干货,Wireshark使用技巧-过滤规则

    - 过滤规则使用 在抓取报文时使用的规则,称为过滤规则,Wireshark底层是基于Winpcap,因此过滤规则是Winpcap定义的规则,设置过滤规则后,抓到的报文仅包含符合规则的报文,其它报文则被 ...

  4. spark-sql将Rdd转换为DataFrame进行操作的两种方法

    SparkConf sparkConf = new SparkConf() .setMaster("local").setAppName("ClzMap"); ...

  5. 网络抓包工具wireshark常用封装过滤规则

    过滤器的区别 捕捉过滤器(CaptureFilters):用于决定将什么样的信息记录在捕捉结果中.需要在开始捕捉前设置.显示过滤器(DisplayFilters):在捕捉结果中进行详细查找.他们可以在 ...

  6. 第八节:Asp.Net Core整合Log4net(官方的、微软的两种)

    一. 整合Log4net 1. 简单说明 对于log4net 官方的程序集而言,从2.0.7开始就支持.Net Core了,这里我们采用的是2.0.8,虽然好久没更新了,但不影响使用.Core版本与普 ...

  7. SpringBoot自定义过滤器的两种方式及过滤器执行顺序

    第一种 @WebFilter + @ServletComponentScan 注解 1.首先自定义过滤器 如下自定义过滤器 ReqResFilter 必须实现  javax.servlet.Filte ...

  8. Spring Boot配置过滤器的两种方式

    过滤器(Filter)是Servlet中常用的技术,可以实现用户在访问某个目标资源之前,对访问的请求和响应进行拦截,常用的场景有登录校验.权限控制.敏感词过滤等,下面介绍下Spring Boot配置过 ...

  9. .NET MVC中登录过滤器拦截的两种方法

    今天给大家介绍两种ASP中过滤器拦截的两种方法. 一种是EF 的HtppModule,另一种则是灵活很多针对MVC的特性类 Attribute 具体什么是特性类可以参考着篇文章:https://www ...

随机推荐

  1. 利用 MinIO 轻松搭建静态资源服务

    目录 1 引言 2 MinIO 简介 3 MinIO 运行与静态资源使用 3.1 MinIO 获取 3.2 MinIO 启动与运行 3.2.1 前台简单启动 3.2.2 后台指定参数运行 3.2.3 ...

  2. MySQL的死锁系列- 锁的类型以及加锁原理

    疫情期间在家工作时,同事使用了 insert into on duplicate key update 语句进行插入去重,但是在测试过程中发现了死锁现象: ERROR 1213 (40001): De ...

  3. OpenCV-Python 图像平滑 | 十六

    目标 学会: 使用各种低通滤镜模糊图像 将定制的滤镜应用于图像(2D卷积) 2D卷积(图像过滤) 与一维信号一样,还可以使用各种低通滤波器(LPF),高通滤波器(HPF)等对图像进行滤波.LPF有助于 ...

  4. POJ-3134-Power Calculus(迭代加深)

    题意:输入一个n,问x从1次方开始,到n次方 ,可以乘或除已经计算出来的数 ,最少需要执行多少步? 思路:迭代加深 ,深度从0开始 ,直到返回值为真. 在深搜过程中剪枝(深度的判断 ,当前最大值尽全力 ...

  5. 移植OPENNI到DM6446上面

    为了利用摄像头的景深信息,同时利用dm6446的分析功能(dsp),对openNI进行USB移植. 下载:libusb-1.0.0.tar.bz2            OpenNI-Stable-1 ...

  6. NSObject常用方法

    类 @interface NSObject <NSObject> { Class isa OBJC_ISA_AVAILABILITY; } // 初始化加载 + (void)load; / ...

  7. TCP连接与HTTP请求

    一道经典面试题: 从 URL 在浏览器被被输入到页面展现的过程中发生了什么? 相信大多数准备过的同学都能回答出来,但是如果继续问:收到的 HTML 如果包含几十个图片标签,这些图片是以什么方式.什么顺 ...

  8. Unity 阴影淡入淡出效果中Shader常量 unity_ShadowFadeCenterAndType和_LightShadowData的问题

    由于Universal Render Pipeline目前(2020年4月1日)把阴影淡入淡出这个功能竟然给取消了…我自己拿片元位置到相机位置的距离进行了一个淡化,但是阴影边缘老是被裁切…后来研究了一 ...

  9. 音视频开发-FFmpeg

    音视频开发是个非常复杂的,庞大的开发话题,初涉其中,先看一下结合 OEIP(开源项目) 新增例子. 可以打开flv,mp4类型文件,以及rtmp协议音视频数据,声音的播放使用SDL. 把采集的麦/声卡 ...

  10. MATLAB实现一个EKF-2D-SLAM(已开源)

    1. SLAM问题定义 同时定位与建图(SLAM)的本质是一个估计问题,它要求移动机器人利用传感器信息实时地对外界环境结构进行估计,并且估算出自己在这个环境中的位置,Smith 和Cheeseman在 ...