wireShark捕获规则语法，tcpdump基本使用

已于 2024-10-06 16:12:09 修改
阅读量2.5k 收藏 15
点赞数
分类专栏： 爬虫 文章标签： wireshark
于 2022-04-26 23:47:53 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/General_zy/article/details/124440197
版权

目录

wireshark

语法

语法：ProtocolDirectionHost(s)ValueLogical OperationsOther expression
例子：tcpdst10.1.1.180andtcp dst 10.2.2.2 3128

字段详解

Protocol（协议）:

可能值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.
如果没指明协议类型，则默认为捕捉所有支持的协议。

Direction（方向）:

可能值: src, dst, src and dst, src or dst
如果没指明方向，则默认使用 “src or dst” 作为关键字。

Host(s):

可能值： net, port, host, portrange.
默认使用”host”关键字，”src 10.1.1.1″与”src host 10.1.1.1″等价。

Logical Operations（逻辑运算）:

可能值：not, and, or.
否(“not”)具有最高的优先级。或(“or”)和与(“and”)具有相同的优先级，运算时从左至右进行。

逻辑

在这里插入图片描述
在这里插入图片描述

常见用显示过滤需求：

（1）数据链路层：

筛选mac地址为04:f9:38:ad:13:26的数据包----eth.src == 04:f9:38:ad:13:26

筛选源mac地址为04:f9:38:ad:13:26的数据包----eth.src == 04:f9:38:ad:13:26

（2）网络层：

筛选ip地址为192.168.1.1的数据包----ip.addr == 192.168.1.1

筛选192.168.1.1和192.168.1.2之间的数据包----ip.addr == 192.168.1.1 && ip.addr == 192.168.1.2

筛选从192.168.1.1到192.168.1.2的数据包----ip.src == 192.168.1.1 && ip.dst == 192.168.1.2

（3）传输层：

筛选tcp协议的数据包----tcp

筛选除tcp协议以外的数据包----!tcp

筛选端口为80的数据包----tcp.port == 80

筛选12345端口和80端口的数据包----tcp.port == 12345 && tcp.port == 80

筛选从12345端口到80端口的数据包----tcp.srcport == 12345 && tcp.dstport == 80

（4）应用层：

特别说明----http中http.request表示请求头中的第一行（如GET index.jsp HTTP/1.1），http.response表示响应头中的第一行（如HTTP/1.1 200 OK），其他头部都用http.header_name形式。

筛选url中包含.php的http数据包----http.request.uri contains “.php”

筛选内容包含username的http数据包----http contains “username”

显示post请求方式的http封包—http.request.method== “POST”

显示请求的域名为tracker.1ting.com的http封包—http.host == “tracker.1ting.com”

抓取arp包

在这里插入图片描述

查看arp缓存

此命令显示 IP 地址及其关联的 MAC 地址：

arp -a

删除全部缓存：

arp -d

如果要删除缓存中的任何特定条目，而不是整个表：

arp -d <ip-address>

arp通信过程

假设主机A和B在同一个网段，主机A要向主机B发送信息，具体的地址解析过程如下：

  1. 主机A首先查看自己的ARP缓存表，确定其中是否包含有主机B对应的ARP表项。如果找到了对应的MAC地址，则主机A直接利用ARP表中的MAC地址，对IP数据包进行帧封装，并将数据包发送给主机B。
  2. 如果主机A在ARP表中找不到对应的MAC地址，则将缓存该数据报文，然后以广播方式发送一个ARP请求报文。ARP请求报文中的发送端IP地址和发送端MAC地址为主机A的IP地址和MAC地址，目标IP地址和目标MAC地址为主机B的IP地址和全0的MAC地址。由于ARP请求报文以广播方式发送，该网段上的所有主机都可以接收到该请求，但只有被请求的主机（即主机B）会对该请求进行处理。
  3. 主机B比较自己的IP地址和ARP请求报文中的目标IP地址，当两者相同时进行如下处理：将ARP请求报文中的发送端（即主机A）的IP地址和MAC地址存入自己的ARP表中。之后以单播方式发送ARP响应报文给主机A，其中包含了自己的MAC地址。
  4. 主机A收到ARP响应报文后，将主机B的MAC地址加入到自己的ARP表中以用于后续报文的转发，同时将IP数据包进行封装后发送出去。
  5. 当主机A和主机B不在同一网段时，主机A就会先向网关发出ARP请求，ARP请求报文中的目标IP地址为网关的IP地址。当主机A从收到的响应报文中获得网关的MAC地址后，将报文封装并发给网关。如果网关没有主机B的ARP表项，网关会广播ARP请求，目标IP地址为主机B的IP地址，当网关从收到的响应报文中获得主机B的MAC地址后，就可以将报文发给主机B；如果网关已经有主机B的ARP表项，网关直接把报文发给主机B。
    在这里插入图片描述

ARP欺骗

ARP的核心就是搜集目标机器真实的物理地址，上网是使用物理地址上网而不是IP，如果黑客比网关提前返回目标地址，那么主机就会去访问黑客提供的地址了，就导致了ARP欺骗，本地主机连接到了黑客主机而不是网关就不能上网了。

专业的话来讲：

地址解析协议是建立在网络中各个主机互相信任的基础上的，它的诞生使得网络能够更加高效的运行，但其本身也存在缺陷：

ARP地址转换表是依赖于计算机中高速缓冲存储器动态更新的，而高速缓冲存储器的更新是受到更新周期的限制的，只保存最近使用的地址的映射关系表项，这使得攻击者有了可乘之机，可以在高速缓冲存储器更新表项之前修改地址转换表，实现攻击。ARP请求为广播形式发送的，网络上的主机可以自主发送ARP应答消息，并且当其他主机收到应答报文时不会检测该报文的真实性就将其记录在本地的MAC地址转换表，这样攻击者就可以向目标主机发送伪ARP应答报文，从而篡改本地的MAC地址表。ARP欺骗可以导致目标计算机与网关通信失败，更会导致通信重定向，所有的数据都会通过攻击者的机器，因此存在极大的安全隐患。

ARP报文部分

  1. 硬件类型：占两字节，表示ARP报文可以在哪种类型的网络上传输，值为1时表示为以太网地址。

  2. 上层协议类型：占两字节，表示硬件地址要映射的协议地址类型，映射IP地址时的值为0x0800。

  3. MAC地址长度：占一字节，标识MAC地址长度，以字节为单位，此处为6。

  4. IP协议地址长度：占一字节，标识IP得知长度，以字节为单位，此处为4。

  5. 操作类型：占2字节，指定本次ARP报文类型。1标识ARP请求报文，2标识ARP应答报文。

  6. 源MAC地址：占6字节，标识发送设备的硬件地址。

  7. 源IP地址：占4字节，标识发送方设备的IP地址。

  8. 目的MAC地址：占6字节，表示接收方设备的硬件地址，在请求报文中该字段值全为0，即00-00-00-00-00-00，表示任意地址，因为现在不知道这个MAC地址。

  9. 目的IP地址：占4字节，表示接受方的IP地址。

在这里插入图片描述

ARP表

网络设备一般都有一个ARP缓存（ARP Cache），ARP缓存用来存放IP地址和MAC地址的关联信息。在发送数据前，设备会先查找ARP缓存表。如果缓存表中存在对方设备的MAC地址，则直接采用该MAC地址来封装帧，然后将帧发送出去。如果缓存表中不存在相应的信息，则通过发送ARP request报文来获得它。学习到的IP地址和MAC地址的映射关系会被放入ARP缓存表中存放一段时间。在有效期内，设备可以直接从这个表中查找目的MAC地址来进行数据封装，而无需进行ARP查询。过了这段有效期，ARP表现会被自动删除。如果目标设备位于其他网络则源设备会在ARP缓存表中查找网关的MAC地址，然后将数据发送给网关，网关再把数据转发给目的设备。

ARP表项又分为动态ARP表项和静态ARP表项。

动态ARP表项

动态ARP表项由ARP协议通过ARP报文自动生成和维护，可以被老化，可以被新的ARP报文更新，可以被静态ARP表项覆盖。每个动态ARP缓存项的潜在生命周期是10分钟。新加到缓存中的项目带有时间戳，如果某个项目添加后2分钟内没有再使用，则此项目过期并从ARP缓存中删除；如果某个项目已在使用，则又收到2分钟的生命周期；如果某个项目始终在使用，则会另外收到2分钟的生命周期，一直到10分钟的最长生命周期。

静态ARP表项

静态ARP表项通过手工配置和维护，不会被老化，不会被动态ARP表项覆盖。直到重新启动计算机为止。

配置静态ARP表项可以增加通信的安全性。静态ARP表项可以限制和指定IP地址的设备通信时只使用指定的MAC地址，此时攻击报文无法修改此表项的IP地址和MAC地址的映射关系，从而保护了本设备和指定设备间的正常通信。

静态ARP表项分为短静态ARP表项和长静态ARP表项。

  • 在配置长静态ARP表项时，除了配置IP地址和MAC地址项外，还必须配置该ARP表项所在VLAN和出接口。长静态ARP表项可以直接用于报文转发。
  • 在配置短静态ARP表项时，只需要配置IP地址和MAC地址项。如果出接口是三层以太网接口，短静态ARP表项可以直接用于报文转发；如果出接口是VLAN虚接口，短静态ARP表项不能直接用于报文转发，当要发送IP数据包时，先发送ARP请求报文，如果收到的响应报文中的源IP地址和源MAC地址与所配置的IP地址和MAC地址相同，则将接收ARP响应报文的接口加入该静态ARP表项中，之后就可以用于IP数据包的转发。
    一般情况下，ARP动态执行并自动寻求IP地址到以太网MAC地址的解析，无需管理员的介入。

当希望设备和指定用户只能使用某个固定的IP地址和MAC地址通信时，可以配置短静态ARP表项，当进一步希望限定这个用户只在某VLAN内的某个特定接口上连接时就可以配置长静态ARP表项。

免费ARP

免费 ARP（Gratuitous ARP）包是一种特殊的ARP请求，它并非期待得到IP对应的 MAC 地址，而是当主机启动的时候，发送一个 Gratuitous ARP请求，即请求自己的IP地址的MAC地址。

免费ARP报文与普通ARP请求报文的区别在于报文中的目标IP地址。普通ARP报文中的目标IP地址是其他主机的IP地址；而免费ARP的请求报文中，目标IP地址是自己的IP地址。

免费 ARP 数据包有以下 3 个作用。

  1. 该类型报文起到一个宣告作用。它以广播的形式将数据包发送出去，不需要得到回应，只为了告诉其他计算机自己的IP地址和MAC地址。
  2. 可用于检测IP地址冲突。当一台主机发送了免费ARP请求报文后，如果收到了ARP响应报文，则说明网络内已经存在使用该IP地址的主机。
  3. 可用于更新其他主机的ARP缓存表。如果该主机更换了网卡，而其他主机的ARP缓存表仍然保留着原来的MAC地址。这时，可以发送免费的 ARP数据包。其他主机收到该数据包后，将更新ARP缓存表，将原来的 MAC地址替换为新的MAC地址。

抓取icmp包

在数据传输的过程中，IP提供尽力而为的服务，指为了把数据包发送到目的地址尽最大努力。它并不对目的主机是否收到数据包进行验证，无法进行流量控制和差错控制。因此在数据包传输过程中，产生各种错误在所难免。为了更有效地转发IP数据包和提高数据包交付成功的机会，ICMP应运而生。使用ICMP，当网络中数据包传输出现问题时，主机或设备就会向上层协议报告差错情况和提供有关异常情况的报告，使得上层协议能够通过自己的差错控制程序来判断通信是否正确，以进行流量控制和差错控制，从而保证服务质量。
在这里插入图片描述
从技术角度来说，ICMP就是一个差错报告机制，其工作机理也比较简单，即当数据包处理过程出现差错时，ICMP向数据包的源端设备报告这个差错，它既不会纠正这个差错，也不会通知中间的网络设备。因为ICMP报文被封装在IP数据包内部，作为IP数据包的数据部分通过互联网传递。IP数据包中的字段包含源端和最终的目的端，并没有记录报文在网络传递中的全部路径（除非IP数据包中设置了路由记录选项）。因此当设备检测到差错时，它无法通知中间的网络设备，只能向源端发送差错报告。

源端在收到差错报告后，它虽然不能判断差错是由中间哪个网络设备所引起的，但是却可以根据ICMP报文确定发生错误的类型，并确定如何才能更好地重发传递失败的数据包。

在这里插入图片描述

抓取tcp包

在这里插入图片描述
三次握手抓包：
在这里插入图片描述
流量图：
在这里插入图片描述
四次挥手：
在这里插入图片描述
在这里插入图片描述

抓取http包

在这里插入图片描述
可以看出百度的ip是110.242.68.66，只需要过滤处110.242.68.66，然后追踪tcp流即可
在这里插入图片描述
三次握手：
在这里插入图片描述
紧接着就是一个"http"的get请求，
在这里插入图片描述

四次挥手：
在这里插入图片描述

tcpdump

tcpdump可以看作linux的wireShark

tcpdump参数

  1. 常用参数
  2. 协议
  3. 方向
  4. 过滤规则及其组合
    在这里插入图片描述
    语法：
tcpdump [-adeflnNOpqStvx][-c<数据包数目>][-dd][-ddd][-F<表达文件>][-i<网络界面>][-r<数据包文件>][-s<数据包大小>][-tt][-T<数据包类型>][-vv][-w<数据包文件>][输出数据栏位]

参数说明：

  • -a 尝试将网络和广播地址转换成名称。
  • -A 以ASCII格式打印出所有的分组，使读取更加简单，-A -r tt2.pcap
  • -c<数据包数目> 收到指定的数据包数目后，就停止进行倾倒操作。
  • -C<数据包数目> 与-w配合使用，如果写入文件超大小则新创建一个文件继续写入，单位MB
  • -d 把编译过的数据包编码转换成可阅读的格式，并倾倒到标准输出。
  • -D 显示所有可用网络接口的列表，eth0....
  • -L 列出网络接口的已知数据链路
  • -dd 把编译过的数据包编码转换成C语言的格式，并倾倒到标准输出。
  • -ddd 把编译过的数据包编码转换成十进制数字的格式，并倾倒到标准输出。
  • -e 在输出行打印出数据链路层的头部信息，默认下tcpdump不会显示数据链路层信息，使用-e可以显示源和目的的MAC地址...
  • -f 用数字显示网际网络地址。
  • -F<表达文件> 指定内含表达方式的文件。可以读取写有过滤器表达式的文件
  • -i<网络界面> 使用指定的网络截面送出数据包，如：tcpdump -i eth0监听第一块网卡，tcpdump -i any监听所有网卡
  • -l 使用标准输出列的缓冲区。在同时抓包保存文件和查看包内容的时候需要，tcpdump -l | tee data.pcap（tee读取标准输入的数据并将其内容输出成文件）
  • -n 不把主机的网络地址转换成名字，直接显示ip，不进行DNS解析。
  • -n 不把主机的网络地址转换成名字，直接显示ip，不进行DNS解析，也不将端口转换为名称。
  • -N 不列出域名。
  • -O 不将数据包编码最佳化。
  • -p 不让网络界面进入混杂模式。
  • -q 快速输出，仅列出少数的传输协议信息。
  • -Q 选择是入方向，还是出方向，可选：in,out,inout；-Q in，-Q out，-Q inout
  • -r<数据包文件> 从指定的文件读取数据包数据。
  • -s<数据包大小> 设置每个数据包的大小。默认为262144bytes，如果超过，包就会被截断。
  • -S 用绝对而非相对数值列出TCP关联数。
  • -t 在每列倾倒资料上不显示时间戳记。
  • -tt 在每列倾倒资料上显示未经格式化的时间戳记。
  • -ttt 输出每两行打印的时间间隔（单位毫秒）。
  • -tttt 在每列倾倒资料上显示格式化的时间戳记。
  • -T<数据包类型> 强制将表达方式所指定的数据包转译成设置的数据包类型。
  • -v 详细显示指令执行过程。如包的ttl，id，数据包长度。
  • -vv 更详细显示指令执行过程。
  • -vvv 比vv更详细显示指令执行过程。
  • -x 用十六进制字码列出数据包资料。
  • -w<数据包文件> 把数据包数据写入指定的文件。

记录组成

line:   21:26:49.013621  IP  172.20.20.1.15605 > 172.20.20.2.5920: Flags [P.], seq 49:97, ack 106048, win 4723, length 48

1. 时分秒毫秒 21:26:49.013621
2. 网络协议 IP
3. 发送方的ip+port
4. 数据流向 > 
5. 接收方ip+port
6. 冒号
7. 数据包内容，包括Flags 标识符，seq 号，ack 号，win 窗口，数据长度 length

标志

  1. [S] : SYN（开始连接）
  2. [P] : PSH（推送数据）
  3. [F] : FIN （结束连接）
  4. [R] : RST（重置连接）
  5. [.] : 没有 Flag
  6. [ACK] （确认标志）

对比wireshark：
在这里插入图片描述

过滤规则

在这里插入图片描述
使用 tcpdump 工具抓到包后，往往需要再借助其他的工具进行分析，比如常见的 wireshark 。

案例

1. tcpdump icmp -w icmp.pcap  # 抓取icmp协议的包写入到pcap文件中

2. tcpdump src port 8080 # 抓取本地port=8080的包

3. tcpdump src portrange 8000-8080 # 抓取本地port in [8000,8080]端口的包

4. tcpdump host 192.168.10.100 # 抓取ip是192.168.10.100的包

5. tcpdump port 80 or port 8088 # 抓取port=8080或80的包

6. tcpdump net 100.100.30.0/24 # 过滤100.100.30网段下的所有报文

7. tcpdump port http # 对于http不能直接写,因为其等效于80,所以相当于通过port限制

逻辑运算

在这里插入图片描述

高级过滤规则

基于包大小进行过滤

在这里插入图片描述

wireshark基本用法及过虑规则(收集)
Youngs-RSR技术专栏
05-04 611
1.过滤IP，如来源IP或者目标IP等于某个IP例子:ip.src eq 192.168.1.108 or ip.dst eq 192.168.1.108或者ip.addr eq 192.168.1.108 // 都能显示来源IP和目标IP2.过滤端 口例子:tcp.port eq 80 // 不管端口是来源的还是目标的都显示tcp.port == 80tcp.port eq 2722tcp.po
wireshark或tshark提取tcpdump捕获的数据包(附python脚本自动解析文件后缀)
2301_80892630的博客
10-19 1948
启动 Wireshark 并加载工具栏：提供常用的操作按钮，如播放、停止、过滤、保存等。数据包列表：显示捕获文件中的所有数据包，通常包括序号、时间戳、源地址、目标地址、协议和长度等信息。数据包详情：显示选中的数据包的详细信息，包括各个协议层的信息。数据包字节：显示选中的数据包的原始字节数据。
wireshark分析常见的网络协议
qq_61963012的博客
08-14 2930
它的创始人是Gerald Combs，前身是Ethereal，作为开源项目经过众多开发者的完善它已经成为使用量最大的安全工具之一。ICMP (Internet Control Message Protocol，网际报文控制协议）是Internet 协议族的核心协议之一，它主要用在网络计算机的操作系统中发送出错信息。TCP (Transmission Control Protocol，传输控制协议）是一种面向连接的、可靠的、基于P的传输层协议。在这层上工作的不止一个协议，但是最普遍的就是互联网协议(IP）。
Linux tcpdump 命令详解：强大的命令行网络嗅探工具，用于捕获和分析经过计算机网络接口的数据包
最新发布
yangchuang111213的博客
03-27 1087
功能命令捕获所有数据包捕获指定数量的数据包保存数据包到文件从文件读取并分析数据包捕获特定端口的数据包捕获 ICMP 数据包捕获特定网络的数据包显示十六进制和 ASCII 内容tcpdump是网络分析和故障排查的重要工具，适用于网络管理员、开发人员、系统。
Wireshark应用
00's Blog
01-03 3058
1. 过滤IP，如来源IP或者目标IP等于某个IP 例子: ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107 或者 ip.addr eq 192.168.1.107 // 都能显示来源IP和目标IP 2. 过滤端口 例子: tcp.port eq 80 // 不管端口是来源的还是目标的都显示 tcp.port == 80
WireShark 语法
bosy_xu的专栏
09-18 2533
<br />总体条件语法<br />||(或)，&&（与），或者使用英文：and，or<br />例子：ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107<br />         ip.src eq 192.168.1.107 || ip.dst eq 192.168.1.107<br /> <br />条件表达式：<br />等于：==  或者 eq<br />大于： > 或者 gt<br />小于：< 或者  lt<br />不大于： <= 或者 l
Wireshark 捕获过滤器的语法
dongbi0665的博客
11-29 1260
转自：http://blog.youkuaiyun.com/qq_29277155/article/details/52077239 前言 我们都知道，wireshark可以实现本地抓包，同时Wireshark也支持remote packet capture protocol（rpcapd）协议远程抓包，只要在远程主机上安装相应的rpcapd服务例程就可以实现在本地电脑执行wiresha...
Wireshark基础使用和表达式语法
qq_35634181的博客
04-07 8035
Wireshark的世界里有2种过滤器，分别是捕获过滤器和显示过滤器，采用恰当的过滤器，不但能提高数据分析的灵活性，而且能让分析者更快看到自己想要的分析对象。 1.在使用Wireshark时，需要先选择一个接口， 2.在使用Wireshark进行抓包之前，可以使用捕获过滤器来捕获我们 ...
使用 TCPdump、TShark 和 Wireshark 捕获非空 TCP 包
qq_45831414的博客
08-18 655
TCPdump：一个开源的命令行工具，用于监听网络接口上的数据包并根据过滤规则捕获数据。TShark：Wireshark 的命令行版本，支持更复杂的过滤器和解析选项。Wireshark：一个图形界面的网络协议分析器，提供丰富的数据包分析功能。通过上述方法，您可以有效地捕获非空的 TCP 数据包，这对于网络故障排查和性能分析非常有帮助。希望这篇笔记能为您提供有用的指导！
网络协议-Wireshark 捕获和显示过滤器规则
qq_38937634的博客
12-16 2469
Wireshark 捕获和显示过滤器 这篇文章介绍一下 Wireshark 的过滤器，Wireshark 过滤器分为 捕获过滤器 和 显示过滤器，学习它们可以帮助你更好抓取到想要的报文。 1.捕获过滤器（BPF 过滤器） 捕获过滤器是在报文抓取之前的一种过滤，可以指定抓取满足过滤条件的报文内容: 用于减少抓取的报文体积 使用 BPF 语法，功能相对有限 1.1 捕获过滤器使用方法 在 Wireshark 面板点击 选项->捕获出现的窗口下方 capture filter for selected
【网管博客 | 01】抓取分析网络数据包？力推默契老搭档——tcpdump&wireshark
木子Linux的博客世界
05-22 1548
tcpdump是一个在linux环境下常用的抓包工具，Wireshark是一个网络封包分析软件，二者结合，其利断金
WireShark_过滤语法
12-03
WireShark_过滤语法 过滤IP，如来源IP或者目标IP等于某个IP 例子: ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107 或者 ip.addr eq 192.168.1.107 // 都能显示来源IP和目标IP 2. 过滤端口 例子: tcp.port eq 80 // 不管端口是来源的还是目标的都显示 tcp.port == 80 tcp.port eq 2722 tcp.port eq 80 or udp.port eq 80 tcp.dstport == 80 // 只显tcp协议的目标端口80 tcp.srcport == 80 // 只显tcp协议的来源端口80
wireshark 过滤规则
07-13
如何通过wireshark 设置过滤规则
Wireshark （抓包）捕获过滤器常用规则及代码示例
殷阳的博客
07-12 5763
Wireshark 捕获过滤器使用的语法与 tcpdump、WinDump、Analyzer 这类使用 libpcap/WinPcap 库的程序一致。
wireshark过滤器基本语法分析
tecoes的博客
04-13 3674
Wireshark抓包过滤器语法设置 1. 抓包过滤器 BPF语法（Berkeley Packet Filter）——基于libpcap/wincap库，在抓包的过程中过滤掉某些类型的协议，不抓取过滤掉的协议。（建议在流量特别大的情况下使用） 1.1 语法说明 类型Type: host、net、port 方向Dir: src、dst 协议Proto: ether、ip、tcp、ud...
wireshark过滤规则
bytxl的专栏
12-01 798
http://blog.sina.com.cn/s/blog_48a0f2740100ka71.html 1.过 滤IP，如来源IP或者目标IP等于某个IP 例子: ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107 或者 ip.addr eq 192.168.1.107 // 都能显示来源IP和目标IP 2.过滤端 口
wireshark过滤器的语法详解（有图有内容）
qq_70070181的博客
06-07 8307
若出现了黄色黄色，表示输入的过滤条件表达式的语法没有问题，能过滤，但结果可能会跟预期的结果不一样，只要在过滤条件表达式中，包含了操作符!根据在IP数据包中封装的上层协议类型编号进行过滤，上层协议类型，即传输层中的协议类型，有TC协议[6]、UDP协议[17]，还有在网络层中的一个ICM协议[1]等。指定要过滤的是数据包的目标地址，比如：目的MAC地址、目的IP地址、目的端口号，凡是可以用src的地方，都可以用dst，只不过，抓的是方向相反的数据包。其中，回显请求报文的值为 8 回显 响应报文的值为0。
Wireshark抓包工具语法的使用
Zzzz-JIA的博客
02-09 677
Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。主要应用: 网络管理员用来解决网络问题 网络安全工程师用来检测安全隐患 开发人员用来测试协议执行情况 用来学习网络协议 除了上面提到的，Wireshark还可以用在其它许多场合 wireshark有两种过滤器： 捕捉过滤器（CaptureFilters）：捕捉过滤器在抓抱前进行设置，
Wireshark 常用规则
weixin_34062329的博客
03-06 194
常用过滤规则： 过滤IP地址： ip.addr == 192.168.47.2 过滤目的地址： ip.dst == 192.168.43.2 过滤源地址： ip.src == 59.110.42.77 过滤tcp 80端口和udp 80端口数据（ || 表示或）： tcp.port == 80 || udp.port == 80 过滤目的端口为80的数据： itcp.dstport==8...
Wireshark过滤规则详解：WinPcapBPF语法与应用
为了更好地理解和使用Wireshark过滤规则，建议查阅Wireshark的官方文档，如TCPDump的手册页（<http://www.tcpdump.org/tcpdump_man.html>），以及Wireshark本身提供的教程和示例。同时，熟悉网络协议的结构和常见的...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Generalzy

文章对您有帮助，倍感荣幸

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值