wireshark 过滤规则语法

wireshark过滤器语法规则

capture filter

capture filter是用在抓包之前，wireshark按照过滤规则抓取相关数据包。
语法：

protocol	direction	host	value	logic operation	others expression

protocol

protocol的值可为：ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp。
如果没有特别指明是什么协议，则默认使用所有支持的协议。

direction

可能的值: src, dst, src and dst, src or dst
如果没有特别指明源地址或目的地，则默认使用 “src or dst” 作为关键字。
例如，”host 10.2.2.2”与 “src or dst host 10.2.2.2”是一样的。

host

可能的值： net, port, host, portrange.
如果没有指定此值，则默认使用”host”关键字。
例如，src 10.1.1.1”与”src host 10.1.1.1相同。

logic operations

可能的值：not, and, or.
否(“not”)具有最高的优先级。或(“or”)和与(“and”)具有相同的优先级，运算时从左至右进行。
例如，
not tcp port 3128 and tcp port 23”与”(not tcp port 3128) and tcp port 23相同。
not tcp port 3128 and tcp port 23”与”not (tcp port 3128 and tcp port 23)不同。

常见过滤规则

例如：tcp dst 10.1.1.1 80 and tcp dst 10.2.2.2 3128

• 过滤源地址为10.1.1.1的包：ip src host 10.1.1.1
• 过滤目的地址为10.1.1.1的包：ip dst host 10.1.1.1
• 过滤tcp协议目的端口为80的数据包：tcp dst port 80
• 过滤端口号为2000到2400到数据包：src portrange 2000-2400
• 过滤除了icmp以外所有的包：not icmp
• 显示源地址IP地址为10.7.2.12，但目的地不是10.200.0.0/16的数据包：src host 10.7.2.12 and not dst net 10.200.0.0/16

显示过滤器

显示过滤器的规则是在抓取数据包之后设置，wireshark按照过滤规则显示已经抓取的相关数据包。在wireshark的语法规则中，显示过滤器和抓取过滤器使用的语法规则是不一样的。
语法：

protocol	.	string1	.	string2	comparison operator(==)	value	logic operations	other expression

Protocol

可以使用大量位于OSI模型第2至7层的协议，比如：IP，TCP，DNS，SSH

string1.string2

表示协议的子类，如tcp.port等

Comparison operators

比较运算法

值(英文写法)	数学意义(C语言写法)	含义
eq	==	等于
ne	！=	不等于
gt	>	大于
lt	<	小于
ge	>=	大于等于
le	<=	小于等于

Logical expressions

值(英文写法)	C语言写法	含义
and	&&	逻辑与
or	||	逻辑或
xor	^^	逻辑易货
not	！	逻辑非

对于异或：当其被用在过滤器的两个条件之间时，只有当且仅当其中的一个条件满足时，这样的结果才会被显示在屏幕上。
如：tcp.dstport 80 xor tcp.dstport 1025
表示只有当目的TCP端口为80或者源地址于端口1025（但又不能同时满足这两点）时，这样的数据包才会被显示。

常见过滤规则

• 显示SNMP或DNS或ICMP数据包：snmp || dns || icmp
• 显示源地址或目的IP地址为10.1.1.1的数据包：ip.addr == 10.1.1.1
• 显示源地址不为10.1.2.3并且目的地址不为10.4.5.6的数据包：ip.src != 10.1.2.3 and ip.dst != 10.4.5.6
• 显示源地址不为10.1.2.3或者目的地址不为10.4.5.6的数据包：ip.src != 10.1.2.3 or ip.dst != 10.4.5.6
• 显示源地址或目的TCP端口号为25的数据包：tcp.port == 25
• 显示目的TCP端口号为25的数据包：tcp.dstport == 25
• 显示包含TCP标志的数据包：tcp.flags
• 显示包含TCP SYN标志的数据包：tcp.flags.syn == 0x02
• *