使用Wireshark抓包筛选的常用功能

最新推荐文章于 2025-04-02 13:25:00 发布

置顶阿斯顿撒旦撒旦撒

最新推荐文章于 2025-04-02 13:25:00 发布

阅读量2.2k

点赞数 3

CC 4.0 BY-SA版权

分类专栏： network 文章标签： wireshark fetch packet network protocol

本文链接：https://blog.youkuaiyun.com/nibzer/article/details/38525265

network 专栏收录该内容

2 篇文章

订阅专栏

筛选表达式实际上是一个（或者多个）逻辑表达式
如果要筛选出某个协议的报文比如 tcp, udp, arp, 等等的话。直接输入协议名称即可

源端口等于某个值，比如是 22的报文。怎么做？
tcp.srcport eq 22

目标端口等于某个值，比如是 22的报文。怎么做？
tcp.dstport eq 22

源端口不等于某个值，比如是 22的报文
tcp.srcport ne 22

目标端口不等于某个值，比如是 22的报文
tcp.dstport ne 22

源主机等于某个值，比如是 172.20.58.135。怎么做？
ip.src_host eq 172.20.58.135

目标主机等于某个值，比如是 172.20.58.136。怎么做？
ip.dst_host eq 172.20.58.136

源主机不等于某个值，比如是 172.20.58.135。怎么做？
ip.src_host ne 172.20.58.135

目标主机不等于某个值，比如是 172.20.58.136。怎么做？
ip.dst_host ne 172.20.58.136

假如多个条件都得满足。怎么做？
源主机和源端口等于 172.20.58.135 和 22
ip.src_host eq 172.20.58.135 and tcp.srcport eq 22

也可以用括号括起来
(ip.src_host eq 172.20.58.135) and (tcp.srcport eq 22)

如果是 “或” 的关系。怎么做？
(ip.src_host eq 172.20.58.135) or (tcp.srcport eq 22)

如果是 “非” 的关系。怎么做？
not ((ip.src_host eq 172.20.58.135) and (tcp.srcport eq 22))

端口和IP地址可以是等于、不等于之外。还有
gt  大于
ge  大于等于
lt  小于
le  小于等于

参考文档：Wireshark 用户手册的第六章第四节