Wireshark的两种过滤器与BPF过滤规则

Wirshark使用的关键就在于过滤出想要的数据包，下面介绍怎么过滤。

抓包过滤器

Wirshark有两种过滤器，一个是抓包过滤器，一个是显示过滤器，他们之间的区别在于抓包过滤器只抓取你设置的规则，同时丢弃其余信息，显示过滤器并不会丢弃信息，只是将不符合规则的数据隐藏起来而已。有时候一旦数据包被丢弃，这些数据包就没法在恢复回来。还有一个区别就是，捕捉过滤器必须在开始捕捉前设置完毕，这一点跟显示过滤器是不一样的。

两种过滤器的目的也是不一样的：
捕捉过滤器是数据通过的第一层过滤器，它用于控制捕捉数据的数量，以免产生过大的日志文件。
显示过滤器是一种更为强大（复杂）的过滤器。它容许您在日志文件中迅速准确地找到所须要的记录。

说完区别，他们也是有共同点的，就是都遵循BPF语法。看到这里，你可能大概就能知道wireshark的套路了，想用好他，熟练的使用BPF是关键，下面只是介绍了两种过滤的流程，跟着步骤，谁都能完成特定的效果。可是给你一个新任务，你是否能快速过滤出想要的数据包呢？

使用演示

1. 添加一条自定义的抓包规则
   

2. 选择自定义的抓包规则
   

技巧_只抓协议头部参数的抓包过滤器

先看一个ICMP协议发包的特征，

1. 发包
   

2. 分析
   你会发现每一条数据包的这个位置都是00
   

3. 解释
   知道协议的头部都是固定这个特征以后，咱们就能完成一个根据协议头部字段的参数来自定义抓包过滤器，建立这类抓包过滤器的语法为：

proto[offset:size(optional)]=value

语法对应的示意图：

icmp[0:1]=0

这样就完成了一个只抓取ICMP响应的抓包过滤器规则，我实验过了，只能抓包ICMP的包。

4. 经常使用只抓协议头的抓包过滤器规则

抓包过滤器规则	描述
icmp[0]=0	ICMP响应包
icmp[0:1]=8	ICMP请求包
icmp[0:1]=三、icmp[13]=2	ICMP目的主机不可达数据包，仅抓取TCP SYN标记的数据包
icmp[13]=18	仅抓取TCP SYN/ACK标记的数据包
icmp[13]=32	仅抓取TCP URG标记设置数据包

抓包过滤器语法规则解释

语法规则图示：

名词解释：

• Protocol（协议）
  经常使用值: ether、fddi、ip、arp、rarp、decnet、lat、sca、moprc、mopdl、tcp and udp
  若是没有特别指明是什么协议，则默认使用全部支持的协议。

• Direction（方向）
  经常使用值: src、dst、src and dst、src or dst
  若是没有特别指明来源或目的地，则默认使用 "src or dst" 做为关键字。
  例如:

"host 10.2.2.2" 与 "src or dst host 10.2.2.2" 相同

• Host(s):
  经常使用值： net、 port、host、 portrange
  若是没有指定此值，则默认使用"host"关键字。
  例如：

"src 10.1.1.1" 与 "src host 10.1.1.1" 相同

• Logical Operations（逻辑运算）:
  经常使用值值：not、and、or
  否("not")具备最高的优先级。或("or")和与("and")具备相同的优先级，运算时从左至右进行。
  例如：

"not tcp port 3128 and tcp port 23" 与 "(not tcp port 3128) and tcp port 23" 相同
"not tcp port 3128 and tcp port 23" 与 "not (tcp port 3128 and tcp port 23)" 不一样

常见的抓包过滤器BPF

来源或目的地是指定地址的包
host 192.168.0.123
host www.taobao.com


范围内的包
net 192.168.0.0/24
or
net 192.168.0.0 mask 255.255.255.0


抓取目的地是某范围的包
dst net 192.168.0.0/24
or
dst net 192.168.0.0 mask 255.255.255.0


抓取来源是某范围的包
src net 192.168.0.0/24
or
src net 192.168.0.0 mask 255.255.255.0


仅抓取DNS(端口是53)的包
port 53

tcp dst port 3128
显示目的TCP端口为3128的封包。

ip src host 10.1.1.1
显示来源IP地址为10.1.1.1的封包。

host 10.1.2.3
显示目的或来源IP地址为10.1.2.3的封包。

src portrange 2000-2500
显示来源为UDP或TCP，而且端口号在2000至2500范围内的封包。

not imcp
显示除了icmp之外的全部封包。（icmp一般被ping工具使用）

src host 10.7.2.12 and not dst net 10.200.0.0/16
显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。

(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8
显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，而且目的位于网络10.0.0.0/8内的全部封包。

显示过滤器

使用演示

在这里输入过滤语法，必须正确才会显示绿色。

显示过滤器语法规则解释

语法图示：

名词解释：

• Protocol（协议）
  您可使用大量位于OSI模型第2至7层的协议。（wireshark支持的协议介绍 https://www.wireshark.org/docs/dfref/）
  经常使用值: IP、TCP、DNS、SSH

• String1, String2 (可选项)
  协议的子类。
  点击相关父类旁的"+"号，而后选择其子类

• Comparison operators （比较运算符）
  可使用6种比较运算符
  

• Logical expressions（逻辑运算符）
  
  举例：
  "tcp.dstport 80 xor tcp.dstport 1025"
  只有当目的TCP端口为80或者来源于端口1025（但又不能同时知足这两点）时，这样的封包才会被显示。

常见的显示过滤器BPF

只显示本地发出去的包
ip.src==192.168.8.60


过滤从某地址发出的请求
ip.src==192.168.8.60


过滤发送到某地址的请求
ip.dst==192.168.8.60


过滤http协议
http


过滤某地址
http.request.uri=="/projectname/a.html"


过滤全地址（它与uri的区别是，包含host）
http.request.full_uri=="www.mydomain.com/projectname/a.html"

snmp || dns || icmp	显示SNMP或DNS或ICMP封包。
ip.addr == 10.1.1.1
显示来源或目的IP地址为10.1.1.1的封包。

ip.src != 10.1.2.3 or ip.dst != 10.4.5.6
显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3之外任意；目的IP：任意
以及
来源IP：任意；目的IP：除了10.4.5.6之外任意

ip.src != 10.1.2.3 and ip.dst != 10.4.5.6
显示来源不为10.1.2.3而且目的IP不为10.4.5.6的封包。
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3之外任意；同时须知足，目的IP：除了10.4.5.6之外任意

tcp.port == 25	显示来源或目的TCP端口号为25的封包。
tcp.dstport == 25	显示目的TCP端口号为25的封包。
tcp.flags	显示包含TCP标志的封包。
tcp.flags.syn == 0x02	显示包含TCP SYN标志的封包。

Find文本匹配器

流量面板文本搜索

ctr + f 弹出搜索框

而且支持这几种匹配模式

Stream文本搜索

这里只支持普通的文本搜索；

总结_注意事项

• 写表达式时关键字要转义

当使用关键字做为值时，需使用反斜杠“\”
"ether proto \ip" (与关键字"ip"相同).
这样写将会以IP协议做为目标。

"ip proto \icmp" (与关键字"icmp"相同).
这样写将会以ping工具经常使用的icmp做为目标。

能够在"ip"或"ether"后面使用"multicast"及"broadcast"关键字。
当您想排除广播请求时，"no broadcast"就会很是有用。

• 辅助生存表达式
  mac os版打开的方式
  
  遇到一些陌生协议，想要写表达式的时候，能够打开这个工具，它把全部协议的参数选项，可用符号都列举出来了，在没有思路的时候，是个辅助好工具。
  

参考

https://biot.com/capstats/bpf.html
https://wiki.wireshark.org/CaptureFilters
https://openmaniak.com/cn/wireshark_filters.php
https://staight.github.io/2018/07/25/BPF过滤规则/