wireshark简单运用笔记(二)-创新互联

在网络中,我们通常不需要捕获所有的数据包,我们经常只需要捕获到我们想要的数据包就可以了,如:我们只需要捕获tcp包或者arp包等。

成都创新互联是一家专注于成都网站制作、成都网站建设与策划设计,思礼网站建设哪家好?成都创新互联做网站,专注于网站建设10多年,网设计领域的专业建站公司;建站业务涵盖:思礼等地区。思礼做网站价格咨询:18980820575

当我们只需要捕获tcp包时,在选择网络连接(网卡)之后,先不要选择start,而是选择option,然后再弹出窗口中的capture filter栏中输入tcp即可,这样我们wireshark就只会捕获tcp类型的数据包了。

你也可以使用wireshark内置的过滤规则来限制捕获数据包,只需要点击capture filter,然后再弹出的窗口中,选择相应的规则即可。我们也可以自己创建新的规则到内置规则中,这样下次我们还需要进行类似的操作时就不用再手动书写规则,而直接可以在内置规则中选择即可。

选择或书写好规则后,只需要单击start按钮即可对相应的数据包进行捕获。

捕获过滤规则采用BPF语法,所以要灵活使用过滤器,则掌握BPF语法是关键。使用BPF语法创建的过滤器被称为表达式,并且每个表达式包含一个或多个原语,每个原语包含一个或多个限定词,然后后面再跟着一个ID名字或者数字,如:dst host 192.168.1.1 && tcp port 80。

这个例子的意思是捕获发往目标主机ip地址为192.168.1.1的80端口的tcp流量数据包。

dst、host、tcp和port是限定词,192.168.1.1和80是ID,&&是操作符,&&之前部分是为一个原语,即:dst host 192.168.1.1,&&之后部分为另一个原语,即:tcp port 80。

限定词包括:

限定词说明例子
Type指出名字或数字所代表的意义host、net、port
Dir指明传输方向是前往还是来自名字或数字src、dst
Proto限定所要匹配的协议ether、ip、tcp、udp、http、ftp、icmp等

我们还可以对协议域进行捕获过滤,如表达式icmp[0]==8 || icmp[0]==0表示我们只捕获echo请求(类型8)和echo回复(类型0)的icmp数据包。

常用捕获过滤器:

过滤器说明
tcp[13]&32==32设置了 URG 位的 TCP 数据包
tcp[13]&16==16设置了 ACK 位的 TCP 数据包
tcp[13]&8==8设置了 PSH 位的 TCP 数据包
tcp[13]&4==4设置了 RST 位的 TCP 数据包
tcp[13]&2==2设置了 SYN 位的 TCP 数据包
tcp[13]&1==1设置了 FIN 位的 TCP 数据包
tcp[13]==18TCP SYN-ACK 数据包
ether host 00:00:00:00:00:00(MAC地址)流入或流出该 MAC 地址的流量
!ether host 00:00:00:00:00:00(MAC地址)不流入或流出该 MAC 地址的流量
broadcast仅广播流量
icmpICMP 流量
tcmp[0:2]==0x0301ICMP 目标不可达、主机不可达
ip仅 IPv4 流量
ip6仅 IPv6 流量
udp仅 UDP 流量

wireshark简单运用笔记(二)

wireshark简单运用笔记(二)

另外有需要云服务器可以了解下创新互联scvps.cn,海内外云服务器15元起步,三天无理由+7*72小时售后在线,公司持有idc许可证,提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案,具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势,专为企业上云打造定制,能够满足用户丰富、多元化的应用场景需求。


分享文章:wireshark简单运用笔记(二)-创新互联
标题URL:http://scyanting.com/article/dhjcco.html