Wireshark傻瓜式安装，Wireshark使用过滤条件
- 安装
- 使用
- wireshark过滤器表达式的规则
-
- 1.抓包过滤器语法和实例
- 2.显示过滤器语法和实例
-
- （1）比较操作符
- （2）协议过滤
- [（3） ip过滤](#（3） ip过滤)
- （4）端口过滤
- （5）http模式过滤
- [（6）逻辑运算符为 and/or/not](#（6）逻辑运算符为 and/or/not)
- （7）按照数据包内容过滤
- [3. 常见用显示过滤需求及其对应表达式](#3. 常见用显示过滤需求及其对应表达式)
安装
Wireshark安装下载，一路默认安装就行
可以去官网下载最新版本：wireshark.org/download.
使用
- 打开wireshark 2.6.5，主界面如下：
3、wireshark启动后，双击进去就可以处于抓包状态中。
4、执行需要抓包的操作，如在cmd窗口下执行ping www.baidu.com。
5、操作完成后相关数据包就抓取到了。为避免其他无用的数据包影响分析，可以通过在过滤栏设置过滤条件进行数据包列表过滤，获取结果如下。说明：ip.addr == 192.168.0.125 and icmp 表示只显示ICPM协议且源主机IP或者目的主机IP为192.168.0.125的数据包
Packet Details Pane(数据包详细信息), 在数据包列表中选择指定数据包，在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的，用来查看协议中的每一个字段。各行信息分别为
（1）Frame: 物理层的数据帧概况
（2）Ethernet II: 数据链路层以太网帧头部信息
（3）Internet Protocol Version 4: 互联网层IP包头部信息
（4）Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP
（5）Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议
wireshark过滤器表达式的规则
1.抓包过滤器语法和实例
抓包过滤器类型Type（host、net、port）、方向Dir（src、dst）、协议Proto（ether、ip、tcp、udp、http、icmp、ftp等）、逻辑运算符（&&与、|| 或、！非）
（1）协议过滤
比较简单，直接在抓包过滤框中直接输入协议名即可。
tcp，只显示TCP协议的数据包列表
http，只查看HTTP协议的数据包列表
icmp，只显示ICMP协议的数据包列表
（2）IP过滤
host 192.168.1.104
src host192.168.1.104
dst host192.168.1.104
（3）端口过滤
port 80
src port 80
dst port 80
（4）逻辑运算符&&与、|| 或、！非
src host 192.168.1.104 &&dst port 80 抓取主机地址为192.168.1.80、目的端口为80的数据包
host 192.168.1.104 || host 192.168.1.102 抓取主机为192.168.1.104或者192.168.1.102的数据包
！broadcast 不抓取广播数据包
2.显示过滤器语法和实例
（1）比较操作符
比较操作符有
== 等于、！= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于
（2）协议过滤
比较简单，直接在Filter框中直接输入协议名即可。注意：协议名称需要输入小写。
tcp，只显示TCP协议的数据包列表
http，只查看HTTP协议的数据包列表
icmp，只显示ICMP协议的数据包列表
（3） ip过滤
ip.src ==112.53.42.42 显示源地址为112.53.42.42的数据包列表
ip.dst==112.53.42.42, 显示目标地址为112.53.42.42的数据包列表
ip.addr == 112.53.42.42 显示源IP地址或目标IP地址为112.53.42.42的数据包列表
（4）端口过滤
tcp.port ==80, 显示源主机或者目的主机端口为80的数据包列表。
tcp.srcport == 80, 只显示TCP协议的源主机端口为80的数据包列表。
tcp.dstport == 80，只显示TCP协议的目的主机端口为80的数据包列表。
（5）http模式过滤
http.request.method=="GET", 只显示HTTP GET方法的。
（6）逻辑运算符为 and/or/not
过滤多个条件组合时，使用and/or。比如获取IP地址为192.168.0.104的ICMP数据包表达式为ip.addr == 192.168.0.104 and icmp
（7）按照数据包内容过滤
假设我要以ICMP层中的内容进行过滤，可以单击选中界面中的码流，在下方进行选中数据。
右键单击选中后出现如下界面
后面条件表达式就需要自己填写。如下我想过滤出data数据包中包含"abcd"内容的数据流。关键词是contains，完整条件表达式为data contains "abcd"
看到这， 基本上对wireshak有了初步了解。
3. 常见用显示过滤需求及其对应表达式
数据链路层：
筛选mac地址为04:f9:38:ad:13:26的数据包
eth.src == 04:f9:38:ad:13:26
筛选源mac地址为04:f9:38:ad:13:26的数据包----
eth.src == 04:f9:38:ad:13:26
网络层：
筛选ip地址为192.168.1.1的数据包
ip.addr == 192.168.1.1
筛选192.168.1.0网段的数据
ip contains "192.168.1"
传输层：
筛选端口为80的数据包
tcp.port == 80
筛选12345端口和80端口之间的数据包
tcp.port == 12345 &&tcp.port == 80
筛选从12345端口到80端口的数据包
tcp.srcport == 12345 &&tcp.dstport == 80
应用层：
特别说明: http中http.request表示请求头中的第一行（如GET index.jsp HTTP/1.1） http.response表示响应头中的第一行（如HTTP/1.1 200 OK），其他头部都用http.header_name形式。
筛选url中包含.php的http数据包
http.request.uri contains ".php"
筛选内容包含username的http数据包
http contains "username"