wireshark抓包常用过滤规则

最新推荐文章于 2025-02-27 14:46:03 发布

原创

最新推荐文章于 2025-02-27 14:46:03 发布 · 9k 阅读

5 ·

CC 4.0 BY-SA版权

本文介绍了Wireshark中常用的抓包过滤规则，包括protocol、MAC、IP、TCP/UDP及HTTP过滤，帮助读者更精确地分析网络流量。

0.protocol过滤：

tcp
udp
arp
icmp
http
smtp
ftp
dns
msnms
ip
ssl
oicq
bootp
等

1.mac过滤：

eth.dst == A0:00:00:04:C5:84
eth.src eq A0:00:00:04:C5:84
eth.dst==A0:00:00:04:C5:84
eth.dst==A0-00-00-04-C5-84

2.ip过滤：

ip.addr == 10.43.54.65
// 常量的研究两者间的通信
ip.addr== 192.168.8.54 || ip.addr== 112.80.248.74
ip.src == 10.43.54.65 or ip.dst == 10.43.54.65

3.tcp和udp过滤：

tcp.port == 80
tcp.port eq 80 or udp.port eq 80
tcp.port eq 25 or icmp
tcp.port >= 1 and tcp.port <= 80
tcp.window_size == 0 && tcp.flags.reset != 1
udp.length == 26

tcp类型和内容：
tcp[13] & 0×00 = 0: No flags set (null scan)
tcp[13] & 0×01 = 1: FIN set and ACK not set
tcp[13] & 0×03 = 3: SYN set and FIN set
tcp[13] & 0×05 = 5: RST set and FIN set
tcp[13] & 0×06 = 6: SYN set and RST set <