wireshark過濾數據包指定欄位

⑴ wireshark 如何寫過濾規則

一、IP過濾：包括來源IP或者目標IP等於某個IP
比如：ip.src addr==192.168.0.208 or ip.src addr eq 192.168.0.208 顯示來源IP
ip.dst addr==192.168.0.208 or ip.dst addr eq 192.168.0.208 顯示目標IP

二、埠過濾：
比如：tcp.port eq 80 // 不管埠是來源的還是目標的都顯示
tcp.port == 80
tcp.port eq 2722
tcp.port eq 80 or udp.port eq 80
tcp.dstport == 80 // 只顯tcp協議的目標埠80
tcp.srcport == 80 // 只顯tcp協議的來源埠80

過濾埠范圍
tcp.port >= 1 and tcp.port <= 80

三、協議過濾：tcp
udp
arp
icmp
http
smtp
ftp
dns
msnms
ip
ssl
等等
排除ssl包，如!ssl 或者 not ssl

四、包長度過濾：
比如：
udp.length == 26 這個長度是指udp本身固定長度8加上udp下面那塊數據包之和
tcp.len >= 7 指的是ip數據包(tcp下面那塊數據),不包括tcp本身
ip.len == 94 除了乙太網頭固定長度14,其它都算是ip.len,即從ip本身到最後
frame.len == 119 整個數據包長度,從eth開始到最後

五、http模式過濾：
例子:
http.request.method == 「GET」
http.request.method == 「POST」
http.request.uri == 「/img/logo-e.gif」
http contains 「GET」
http contains 「HTTP/1.」

// GET包
http.request.method == 「GET」 && http contains 「Host: 」
http.request.method == 「GET」 && http contains 「User-Agent: 」
// POST包
http.request.method == 「POST」 && http contains 「Host: 」
http.request.method == 「POST」 && http contains 「User-Agent: 」
// 響應包
http contains 「HTTP/1.1 200 OK」 && http contains 「Content-Type: 」
http contains 「HTTP/1.0 200 OK」 && http contains 「Content-Type: 」
一定包含如下
Content-Type:

六、連接符 and / or

七、表達式：!(arp.src==192.168.1.1) and !(arp.dst.proto_ipv4==192.168.1.243)

⑵ 如何利用wireshark只抓特定欄位的報文

一般是打開截包後，在filter框後面有個Expression...，點擊後打開對話框，就可以選擇各個協議的欄位和相應的表達符號了。可以幫助你構建表達式的。

當然，你直接輸入的話也可以的。 比如radius.User_Name==E13201029

================================================
再補充一下，在gui窗口，點中你紅色標出來的欄位的時候，wireshark左下角會顯示欄位名的。你也可以直接右鍵選擇紅色的部分，然後有菜單項作為 as filter 什麼的。就直接過濾了。

⑶ wireshark抓包時對數據包中內容怎麼過濾

啟動wireshark，選復擇網卡，開始抓包 在過制濾裡面輸入oicq 就把QQ的包都過濾出來了 按照源和目的地址的區分，可以且僅可以分析出你抓包對象的QQ號碼 QQ現在使用密文發送，抓不出來聊天的內容了

⑷ wireshark 抓hdlc中的欄位含義

wireshark 抓hdlc中的欄位含義：

F A C FCS F （S幀， U幀）。

F： 標志欄位， （011111110B = 7EH）， 標志幀的開始和結束。

A： 地址欄位。

I： 報文數據。

flagS是flag Segment的縮寫，標志欄位。它其實是IP報文頭中的一個欄位，因為TCP、UDP協議，應用層協議大部分都是封裝在IP包中的，所以分析這些協議時，就會經常看到這個欄位。

工作流程：

（1）確定Wireshark的位置。如果沒有一個正確的位置，啟動Wireshark後會花費很長的時間捕獲一些與自己無關的數據。

（2）選擇捕獲介面。一般都是選擇連接到Internet網路的介面，這樣才可以捕獲到與網路相關的數據。否則，捕獲到的其它數據對自己也沒有任何幫助。

（3）使用捕獲過濾器。通過設置捕獲過濾器，可以避免產生過大的捕獲文件。這樣用戶在分析數據時，也不會受其它數據干擾。而且，還可以為用戶節約大量的時間。

（4）使用顯示過濾器。通常使用捕獲過濾器過濾後的數據，往往還是很復雜。為了使過濾的數據包再更細致，此時使用顯示過濾器進行過濾。

⑸ 如何通過wireshark抓取某個指定網站的數據包

方法步驟如下：

1、首先打開計算機，下載並安裝wireshark，在網路搜Wireshark，下載或其他渠道下載都可以，下載後默認安裝即可。

⑹ 用wireshark抓包時怎麼過濾

過濾器會幫助我們在大量的數據中迅速找到我們需要的信息。

過濾專器有兩種，

一種屬是顯示過濾器，就是主界面上那個，用來在捕獲的記錄中找到所需要的記錄

一種是捕獲過濾器，用來過濾捕獲的封包，以免捕獲太多的記錄。 在Capture -> Capture Filters 中設置

保存過濾

在Filter欄上，填好Filter的表達式後，點擊Save按鈕， 取個名字。比如"Filter 102",

⑺ 如何在wireshark中抓包過濾返回內容包含某字元串的數據

1)如果是一些已經有插件可以提取的數據，可以直接使用，比如voip分析這塊就可以直接導出G711的音頻碼流，甚至直接播放
2)如果wireshark還沒有插件支持，自己寫代碼支持，比如用lua插件，或者直接用winpcap 開發包來操縱截包處理。