《Wireshark实例讲解.ppt》由会员分享，可在线阅读，更多相关《Wireshark实例讲解.ppt（16页珍藏版）》请在金锄头文库上搜索。
1、 WirsharkWirshark Filter FilterJerryZhangJune18,2010WiresharkFilterCaptureFilterFilterCaptureFilter设置设置Capturefilter步骤步骤:-选择Capture-Options或者使用快捷键Ctrl+K-填写“CaptureFilter”栏或者点击“CaptureFilter”按钮为您的过滤器起一个名字并保存，以便在今后的捕捉中继续使用这个过滤器-点击开始（Start）进行捕捉。CaptureFilter语法：语法：语法：语法：例子：例子：iax2dst61.154.152.134569and
2、src192.168.2.111Protocol（协议）（协议）:可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp. 如果没有特别指明是什么协议，则默认使用所有支持的协议Direction（方向）（方向）:可能的值: src, dst, src and dst, src or dst 如果没有特别指明来源或目的地，则默认使用 “src or dst” 作为关键字。 例如，“host 192.168.2.111”与“src or dst host 192.168.2.111”是一样的。Hos
3、t(s):可能的值： net, port, host, portrange. 如果没有指定此值，则默认使用“host”关键字。 例如，src 192.168.2.111与src host 192.168.2.111相同。LogicalOperations（逻辑运算）（逻辑运算）:可能的值：not, and, or. 否(“not”)具有最高优先级。或(“or”)和与(“and”)具有相同的优先级，运算时从左至右进行。 例，“not tcp port 3128 and tcp port 23”与“(not tcp port 3128) and tcp port 23”相同。 not tcp po
4、rt 3128 and tcp port 23与not (tcp port 3128 and tcp port 23)不同。 ProtocolDirectionHost(s)OtherexpressionValueLogicalOperations实例：udpdstport4569显示目的UDP端口为4569的封包。ipsrchost192.168.4.7显示来源IP地址为192.168.4.7的封包。host192.168.4.7显示目的或来源IP地址为192.168.4.7的封包。srcportrange2000-5000显示来源为TCP或UDP，并且端口在20005000范围内的封包。n
5、oticmp显示除icmp以外的封包。srchost172.17.12.1andnotdstnet192.168.2.0/24显示来源IP地址为172.17.12.1，但目的地址不是192.168.2.0/24的封包。(srchost10.4.1.12orsrcnet10.6.0.0/16)andtcpdstportrange200-10000anddstnet10.0.0.0/8显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络10.0.0.0/8内的所有封包。FilterProtocolValueOtherex
6、pressionString1String2ComparisonOperatorLogicalOperations例子：例子：ftppassiveip=192.168.1.1oricmp.typeProtocol（协议）（协议）:可以使用大量位于OSI模型第2至7层的协议。点击“Expression.”按钮后，您可以看到它们。比如：IP，TCP，UDP，DNS，SSH语法：语法：同样可以在以下位置找到所支持的协议String1，String2（可选项）（可选项）:以协议的子类。点击相关父类旁的“+”号，然后选择其子类。ComparisonOperators（比较运算符）（比较运算符）:可以使用
7、以下几种运算符：英文写法英文写法C语言写法语言写法含义含义eq=Equalne!=NotEqualgtGreaterThanlt=GreaterthanorEqualtole=10frame.cap_len=012frame.cap_len=0xa八进制表达十六进制表达3、以太网地址和字节数组使用十六进制表示，十六进制的数字可以被“：”“.”“-”分隔。例如：4、IPv4地址可以被表示成点分十进制或者使用主机名表示。例如：5、当使用IPv4子网划分的时候，CIDR（ClasslessInterDomainRouting）表示法也可以使用。例如：以下的过滤器可以找到所有129.111的数据包：斜
8、线后面的数字用于表示子网占用的比特数。CIDR表示法也用于查找主机名，例如C类网络中主机“sneezy”的IP地址。6、双引号封装字符串。例如：eth.dsteqff:ff:ff:ff:ff:ffaim.data=0.1.0.dfddi.src=aa-aa-aa-aa-aa-ip.src=192.168.1.1ip.addr129.111.0.0/16ip.addreqsneezy/24http.request.method=GETsnmp|dns|icmp常用表达举例：常用表达举例：显示SNMP或DNS或ICMP封包。ip.addr=192.168.2.1显示来源或目的IP地址为10.1.1.1的封包。ip.src!=10.1.2.3orip.dst!=10.4.5.6显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。ip.src!=10.1.2.3andip.dst!=10.4.5.6 显示来源不为10.1.2.3并且目的不为10.4.5.6的封包。udp.porteq4569显示来源或目的UDP端口号为4569的封包。tcp.dstport=25tcp.flags.syneq0x02tcp.flags显示目的TCP端口号为25的封包。显示带有TCP标志的封包。显示带有TCPSYN标志的封包。THEEND
