windows抓包工具Wireshark（过滤）

一、IP过滤

ip.src ==192.168.0.208(ip.src eq 192.168.0.208) //来源等于某个ip 
ip.dst ==192.168.0.208(ip.dst eq 192.168.0.208) //目标等于某个ip

二、端口过滤 
tcp.port eq 80 //无论端口是来源的仍是目标的都显示 
tcp.port == 80 
udp.port eq 80 
tcp.dstport == 80 //只显tcp协议的目标端口80 
tcp.srcport == 80 //只显tcp协议的来源端口80 
tcp.port >= 1 and tcp.port <= 80 //范围端口

三、协议过滤 
tcp 
udp 
arp 
icmp 
http 
smtp 
ftp 
dns 
msnms 
ip 
ssl 等 
排除ssl包，如!ssh或者not ssl

四、包长度过滤 
udp.length == 26 //这个长度是指udp自己固定长度8加上udp下面那块数据包之和 
tcp.len >= 7 //指的是ip数据包(tcp下面那块数据),不包括tcp自己 
ip.len == 94 //除了以太网头固定长度14,其它都算是ip.len,即从ip自己到最后 
frame.len == 119 //整个数据包长度,从eth开始到最后

五、表达式 
ip.src == 192.168.22.106 and udp.port == 5217 
ip.src == 192.168.22.106 && udp.port == 5217

 

使用捕获过滤或显示过滤，wireshark能够仅捕获/显示通过指定ip的数据包，即某个ip收到或发出的全部数据包。wireshark捕获/显示过滤使用方法见：“wireshark过滤器”

显示过滤：wireshark过滤通过指定ip的数据包

显示过滤能够完整的复现测试时的网络环境，但会产生较大的捕获文件和内存占用。

ip.addr ==192.168.1.1 //显示全部目标或源地址是192.168.1.1的数据包
ip.dst==192.168.1.1 //显示目标地址是192.168.1.1的数据包
ip.src ==192.168.1.1 //显示源地址是192.168.1.1的数据包

eth.addr== 80:f6:2e:ce:3f:00   //根据MAC地址过滤，详见“wireshark过滤MAC地址/物理地址”

ip.src==192.168.0.0/16   //网络过滤，过滤一个网段

捕获过滤：wireshark捕获通过指定ip的数据包

捕捉过滤抓包前在capture option中设置，仅捕获符合条件的包，能够避免产生较大的捕获文件和内存占用，但不能完整的复现测试时的网络环境。

host 192.168.1.1      //抓取192.168.1.1 收到和发出的全部数据包
src host 192.168.1.1    //源地址，192.168.1.1发出的全部数据包
dst host 192.168.1.1    //目标地址，192.168.1.1收到的全部数据包

src host hostname    //根据主机名过滤

ether  host 80:05:09:03:E4:35    //根据MAC地址过滤

net 192.168.1    //网络过滤，过滤整个网段
src net 192.168
dst net 192

使用“非/且/或”创建组合过滤条件能够得到更精确的捕获

非: ! or “not” (去掉双引号)
且: && or “and”
或: || or “or”

wirershark过滤指定ip收发数据包示例：

抓取全部目的地址是192.168.1.2 或192.168.1.3 端口是80 的TCP 数据

(tcp port 80) and ((dst host 192.168.1.2) or (dst host
192.168.1.3))   //捕获过滤

tcp.port==80&&(ip.dst==192.168.1.2||ip.dst==192.168.1.3)    //显示过滤

抓取全部目标MAC 地址是80:05:09:03:E4:35 的ICMP 数据

(icmp) and ((ether dst host 80:05:09:03:E4:35))

icmp && eth.dst==80:05:09:03:E4:35

抓取全部目的网络是192.168，但目的主机不是192.168.1.2 的TCP 数据

(tcp) and ((dst net 192.168) and (not dst host 192.168.1.2))

tcp&&ip.src==192.168.0.0/16&&!(ip.src==192.168.1.2)

捕获主机192.168.1.1 和主机192.168.1.2 或192.168.1.3的通讯

host 192.168.1.1 and  (192.168.1.2 or 192.168.1.3 )

ip.addr==192.168.1.1&&(ip.addr==192.168.1.2||ip.addr==192.168.1.3)

获取主机192.168.1.1除了和主机192.168.1.2以外全部主机通讯的数据包

host 192.168.1.1 and ! 192.168.1.2

ip.addr==192.168.1.1&&!ip.addr==192.168.1.2

获取主机192.168.1.1接收或发出的telnet包，telnet使用tcp 23端口

tcp port 23 and host 192.168.1.1

tcp.port==23&&ip.addr==192.168.1.1