Wireshark技巧-过滤规则和显示规则

╰半橙微兮° 2022-07-13 10:08 286阅读 0赞

From: [http://www.cnblogs.com/icez/p/3973873.html][http_www.cnblogs.com_icez_p_3973873.html]

Wireshark是一个强大的网络协议分析软件，最重要的它是免费软件。

过滤规则

只抓取符合条件的包，在Wireshark通过winpacp抓包时可以过滤掉不符合条件的包，提高我们的分析效率。

如果要填写过滤规则，在菜单栏找到capture->options,弹出下面对话框，在capture filter输入框内填写相应的过滤规则，点击下方的start 就生效了。

![152221095813441.png][]

1.只抓取HTTP报文

tcp port 80

解析：上面是只抓取tcp 协议中80端口的包，大部分Web网站都是工作在80端口的，如果碰到了81端口呢？可以使用逻辑运算符or呗！如 tcp port 80 or tcp port 81

2.只抓取arp报文

ether proto 0x0806

解析：ether表示以太网头部，proto表示以太网头部proto字段值为0x0806，这个字段的值表示是ARP报文，如果的ip报文此值为0x8000

3.只抓取与某主机的通信

host [www.cnblogs.com][]

只抓取和博客园服务器的通信,src表示源地址，dst表示目标地址

![152221107684510.png][]

4.只抓取ICMP报文

icmp

更多关于过滤规则的说明可以参考：

[http://www.tcpdump.org/tcpdump\_man.html][http_www.tcpdump.org_tcpdump_man.html]

显示规则

只是将已经抓取到的包进行过滤显示。

在下方的输入框添入相应的规则点击apply即可，如果需要清除这一次的显示过滤点击Clear即可

![152221114716895.png][]

1.只显示HTTP报文

tcp.port == 80

2.只显示ARP报文

eth.type == 0x806

也许你会说Type后面的值记不住，没关系可以点击Expression会弹出Filter Expression窗口，如下图：

![152221121759280.png][]

3.只显示与某主机的通信

ip.addr == 42.121.252.58

4.只显示ICMP报文

Icmp

学习中比较常用，就记录下来了

[http_www.cnblogs.com_icez_p_3973873.html]: http://www.cnblogs.com/icez/p/3973873.html
[152221095813441.png]: /images/20220713/ae16de591b964f119713a8ca0eeb43e4.png
[www.cnblogs.com]: http://www.cnblogs.com/
[152221107684510.png]: /images/20220713/811933b6a8354814bb71797bb650f7e2.png
[http_www.tcpdump.org_tcpdump_man.html]: http://www.tcpdump.org/tcpdump_man.html
[152221114716895.png]: /images/20220713/b081690fece54ed5b9fde6934cb99e90.png
[152221121759280.png]: /images/20220713/bdd52ba904164a33a1c13688e1881ee5.png

发表评论取消回复

表情：

评论列表（有 0 条评论，286人围观）

还没有评论，来说两句吧...

相关阅读

相关 wireshark过滤规则及过滤数据内容是否包含

Wireshark 基本语法，基本使用方法，及包过滤规则，如果想在linux上进行抓包，可以使用tcpdump 先保存为cap文件，然后将cap下载到本地使用wireshark

╰半橙微兮°/ 2023年10月04日 20:27/ 0 赞/ 21 阅读

相关 Wireshark过滤规则

过滤规则 Wireshark过滤语句中常用的操作符关键字有： `eq,==`等于 `ne,!=`不等于 `gt,>`比…大 `lt,<` 比…小 ge,>=

傷城~/ 2023年07月12日 03:55/ 0 赞/ 22 阅读

相关 wireshark过滤规则及使用方法

过滤IP，如来源IP或者目标IP等于某个IP 例子: ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107 或

Myth丶恋晨/ 2022年12月19日 13:24/ 0 赞/ 158 阅读

相关 tcp wireshark 过滤syn_wireshark过滤规则

捕捉过滤器(用于决定将什么样的信息记录在捕捉结果中，需要在开始捕捉前设置) ProtocolDirectionHost(s)ValueLogical OperationsOt

亦凉/ 2022年11月19日 09:59/ 0 赞/ 447 阅读

相关 Wireshark过滤规则

文章目录（一）HTTP过滤（1）域名过滤（2）HTTP状态码过滤（3）过滤所有的htt

àì夳堔傛蜴生んèń/ 2022年10月08日 02:30/ 0 赞/ 233 阅读

相关 Wireshark技巧-过滤规则和显示规则

From: [http://www.cnblogs.com/icez/p/3973873.html][http_www.cnblogs.com_icez_p_3973873.h

╰半橙微兮°/ 2022年07月13日 10:08/ 0 赞/ 287 阅读

相关 pcap过滤规则

pcap过滤规则 pcap的过滤器是以已声明的谓词语法为基础的。过滤器是一个`ASCII`字符串，它包含了一个过滤表达式。`pcap_compile()`把这个表达式编译

╰半橙微兮°/ 2022年05月25日 05:19/ 0 赞/ 486 阅读

相关 wireshark过滤规则及使用方法

首先要注意，如果你是使用`localhost`或者`127.0.0.1`进行测试的，流量是不经过电脑网卡的，所以WireShark无法抓包，如果想抓取本地的包，参考[WireS

我不是女神ヾ/ 2022年05月17日 13:12/ 0 赞/ 229 阅读

相关 Wireshark过滤规则

一、IP过滤：包括来源IP或者目标IP等于某个IP 比如：ip.src addr==192.168.0.208 or ip.src addr eq 192.168.

绝地灬酷狼/ 2022年05月15日 05:12/ 0 赞/ 627 阅读

相关 wireshark过滤规则及使用方法

Wireshark 基本语法，基本使用方法，及包过滤规则： 1.过滤IP，如来源IP或者目标IP等于某个IP 例子: ip.src eq 192.168.1.107

待我称王封你为后i/ 2022年04月23日 02:04/ 0 赞/ 439 阅读