Wireshark过滤基础语法简析

1.简介

Wireshark是一款强大的网络分析工具，它可以捕获和显示网络上的数据包，并提供多种过滤功能，让用户可以快速地找到自己感兴趣的数据包。

Wireshark的过滤功能分为两种：捕获过滤和显示过滤。

• 捕获过滤是在数据包进入Wireshark之前就对其进行筛选，只保留符合条件的数据包，从而减少捕获的数据量。
• 显示过滤是在数据包已经进入Wireshark之后，对其进行再次筛选，只显示符合条件的数据包，从而方便用户分析。

Wireshark的过滤语法有两种：BPF语法和Wireshark语法。

• BPF语法是一种通用的数据包过滤语言，它可以用于多种网络分析工具，如tcpdump、libpcap等。
• Wireshark语法是一种专门为Wireshark设计的过滤语言，它可以利用Wireshark的协议解析能力，对数据包的各个层次和字段进行过滤。

本文是Wireshark部分的第一节，介绍两种过滤语法的基本写法。

2.BPF语法

BPF语法的基本格式是：

类型 方向 协议 地址 端口 

其中，

• 类型-表示数据包的类型，可以是host、net、port、portrange等；
• 方向-表示数据包的方向，可以是src、dst、src and dst、src or dst等；
• 协议-表示数据包的协议，可以是ip、tcp、udp、icmp等；
• 地址-表示数据包的主机地址，可以是IP地址或域名；
• 端口-表示数据包的端口号