4、Wireshark 过滤与搜索实用指南

Wireshark 过滤与搜索实用指南

1. 捕获过滤器的使用

1.1 为何使用捕获过滤器

在处理大量数据包时，仅捕获符合需求的流量非常有用。创建自定义捕获过滤器在分析生产环境时十分便捷。捕获过滤器在实际捕获过程开始前应用。通常，Wireshark 捕获的每个数据包都会传递给捕获引擎以转换为人类可读格式，但如果应用了捕获过滤器，Wireshark 会丢弃不符合表达式的数据包，这些丢弃的数据包不会传递给捕获引擎。需要注意的是，丢弃的数据包无法恢复，而显示过滤器则更具针对性和强大功能。

1.2 Berkley 数据包过滤器（BPF）语法

捕获过滤器使用 BPF 语法创建，许多协议分析器也使用该语法，以保持行业标准。它易于学习和实践，只需使用基本格式构建表达式。

1.3 使用捕获过滤器的格式结构

使用 BPF 语法时，需遵循特定的格式结构，它由标识符和限定符两个参数组成：
- 标识符 ：是在数据包中要查找的值。例如，过滤特定 IP 地址的数据包时，捕获过滤器可能为 host 192.168.1.1 ，其中 192.168.1.1 就是标识符。
- 限定符 ：分为以下三类：
- 类型 ：有 host 、 port 和 net 三种类型限定符。简单来说，类型限定符指的是标识符所对应的名称或编号。例如，在 host 1