Wireshark

过滤表达式

常用关键字

eq、==、and、or、！、not

针对IP地址的过滤

• 源IP：ip.src == 192.168.0.1
• 目的IP：ip.dst == 192.168.0.1
• 源IP和目的IP：ip.addr == 192.168.0.1
• 排除包：!(ip.addr == 192.168.0.1)

针对协议的过滤

• 捕获某种协议的数据包：arp
• 排除某种协议的数据包：not arp 或 !arp

针对端口的过滤

• 捕获某一端口的数据包：
  • tcp.dstport == 80
  • tcp.srcport == 80
  • tcp.port == 80
  • udp.port == 1500
• 捕获多端口的数据包：udp.port >= 2048

针对MAC地址的过滤

• eth.dst == A0:00:00:04:C5:84
• eth.src == A0:00:00:04:C5:84
• eth.addr == A0:00:00:04:C5:84

针对包长度的过滤

• udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和
• tcp.len >= 7 指的是ip数据包(tcp下面那块数据),不包括tcp本身
• ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后
• frame.len == 119 整个数据包长度,从eth开始到最后
• eth ---> ip or arp ---> tcp or udp ---> data

针对包内容的过滤

• udp[offset,n]：n表示截取的个数
• udp[8:3] == 20:21:22 //偏移8个Bytes，再取3个数