码迷,mamicode.com
首页 > 其他好文 > 详细

Wireshark常用快捷键&&过滤器语法

时间:2019-10-06 09:44:41      阅读:94      评论:0      收藏:0      [点我收藏+]

标签:icmp   head   一个   cas   imap   组合   udp   header   选择   

一、快捷键

Ctrl+M 标记/取消标记
shift+ctrl+N/B 下/上一个被标记的数据包

二、过滤器语法

1.捕获过滤器的BPF(Berkeley Packet Filter)语法

语法

限定词 说明 例子
Type 指出名字或数字所代表的意义 host、net、port
Dir 指明传输方向是前往还是来自名字或数字 src、dst
Proto 限定所要匹配的协议 ether、ip、tcp、udp、http、ftp

使用BPF语法创建的过滤器被称为表达式,每个表达式包含一个或多个原语。每个原语包含一个或多个限定词,然后跟着一个ID名字或者数字

|<----------原语--------->|<操作符>|<-----原语---->|
 dst   host   192.168.0.10   &&    tcp   port   80
|限定词|限定词|<----ID---->|      |限定词|限定词|ID|

可以使用3中逻辑运算符对原语进行组合

  • 连接运算符 &&
  • 选择运算符 ||
  • 否定运算符 !

例:
src 192.168.0.10 && port 80
只捕获源地址是192.168.0.10和源端口或目的端口是80的流量

ether host 00-1a-a0-52-e2-a0
根据MAC地址捕获

协议域过滤器

BPF语法还提供了协议域过滤器,可以坚持协议头中的每一字节来过滤
例:
icmp[0]==3
返回icmp包的第1个字节的整形值比较,只捕获代表目标不可达信息(类型3)的ICMP数据包

icmp[0:2]==0x0301
捕获所有类型3代码1表示的目标不可达、主机不可达的ICMP数据包

tcp[13]&4==4
只捕获带有RST标志的TCP数据包(RST标志位在TCP包偏移13字节,00000100)

常用捕获过滤器表达式样例

过滤器 说明
tcp[13]&32==32 设置URG位的TCP数据包
tcp[13]&16==16 设置ACK位的TCP数据包
tcp[13]&8==8 设置PSH位的TCP数据包
tcp[13]&4==4 设置RST位的TCP数据包
tcp[13]&2==2 设置SYN位的TCP数据包
tcp[13]&1==1 设置FIN位的TCP数据包
tcp[13]==18 TCP SYN-ACK数据包
ether host 00:00:00:00:00:00(你的MAC地址) 流入或流出你MAC地址的流量
!ether host 00:00:00:00:00:00(你的MAC地址) 不流入或流出你MAC地址的流量
broadcast 仅广播流量
icmp ICMP流量
icmp[0:2]==0x0301 ICMP目标不可达、主机不可达
ip 仅IPv4流量
ip6 仅IPv6流量
udp 仅UDP流量

2.显示过滤器

显示过滤器参考

常用显示过滤器

过滤器 说明
!tcp.port==3389 排除RDP流量
tcp.flags.syn==1 具有SYN标志位的TCP数据包
tcp.flags.rst==1 具有RST标志位的TCP数据包
!arp 排除ARP流量
http 所有HTTP流量
tcp.port==23 || tcp.port==21 文本管理流量(Telnet或FTP)
smtp || pop || imap 文本email流量(SMTP、POP或IMAP)

Wireshark常用快捷键&&过滤器语法

标签:icmp   head   一个   cas   imap   组合   udp   header   选择   

原文地址:https://www.cnblogs.com/20175211lyz/p/11626297.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!