wireshark常用过滤器配置

最新推荐文章于 2025-10-31 04:21:37 发布

原创最新推荐文章于 2025-10-31 04:21:37 发布 · 1.9k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#wireshark #网络分析

本文介绍了网络数据包捕获中常用的过滤器设置方法，包括捕获过滤器和显示过滤器。捕获过滤器用于指定哪些数据包被Wireshark捕获，而显示过滤器则用于从捕获的数据包中筛选出感兴趣的那些。文中详细列举了针对TCP标志位、MAC地址、广播、ICMP、IP版本、UDP等不同场景下的具体过滤条件。

常用捕获过滤器：

tcp[13]&32==32 (设置了URG位的TCP数据包)
tcp[13]&16==16 (设置了ACK位的TCP数据包)
tcp[13]&8==8 (设置了PSH位的TCP数据包)
tcp[13]&4==4 (设置了RST位的TCP数据包)
tcp[13]&2==2 (设置了SYN位的TCP数据包)
tcp[13]&1==1 (设置了FIN位的TCP数据包)
tcp[13]==18 (TCP SYN-ACK 数据包)
ether host 00:00:00:00:00:00 (流入或流出MAC地址的流量,替换为你的mac)
!ether host 00:00:00:00:00:00 (不流入或流出MAC地址的流量,替换为你的mac)
broadcast (仅广播流量)
icmp (ICMP流量)
icmp[0:2]==0x0301 (ICMP目标不可达、主机不可达)
ip (仅IPv4流量)
ip6 (仅IPv6流量)
udp (仅UDP流量)

常用显示过滤器：

！tcp.port==3389 (排除RDP流量)

tcp.flags.syn==1 (具有SYN标志位的TCP数据包)
tcp.flags.rst==1 (具有RST标志位的TCP数据包)
!arp (排除ARP流量)
http (所有HTTP流量)
tcp.port==23||tcp.port ==21 (FTP或telnet)
smtp||pop||imap (smtp、pop或imap)