資源描述：
《wireshark過濾器使用規(guī)則介紹》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在行業(yè)資料-天天文庫。
1、Wireshark過濾器使用規(guī)則介紹之前學(xué)習(xí)Wireshark，看到wireshark簡明教程里有關(guān)過濾器的介紹，特別是新手不明白捕捉過濾器和顯示過濾器的區(qū)別與作用。這篇文章感覺寫的挺好，解答了我的疑惑，畢竟看英文也是挺吃力的而且自己理解意思也不太明確。特地轉(zhuǎn)來，順便加了點料，特來分享。使用Wireshark時最常見的問題，是當(dāng)您使用默認設(shè)置時，會得到大量冗余信息，以至于很難找到自己需要的部分。這就是為什么過濾器會如此重要。它們可以幫助我們在龐雜的結(jié)果中迅速找到我們需要的信息。過濾器的區(qū)別捕捉過濾器（CaptureFilters）：用于決定將什么樣的信
2、息記錄在捕捉結(jié)果中。需要在開始捕捉前設(shè)置。顯示過濾器（DisplayFilters）：在捕捉結(jié)果中進行詳細查找。他們可以在得到捕捉結(jié)果后隨意修改。那么我應(yīng)該使用哪一種過濾器呢？兩種過濾器的目的是不同的。捕捉過濾器是數(shù)據(jù)經(jīng)過的第一層過濾器，它用于控制捕捉數(shù)據(jù)的數(shù)量，以避免產(chǎn)生過大的日志文件。顯示過濾器是一種更為強大（復(fù)雜）的過濾器。它允許您在日志文件中迅速準確地找到所需要的記錄。兩種過濾器使用的語法是完全不同的。捕捉過濾器語法：ProtocolDirectionHost(s)ValueLogicalOperationsOtherexpression例子：
3、tcpdst10.1.1.180andtcpdst10.2.2.23128Protocol（協(xié)議）:可能的值:ether,fddi,ip,arp,rarp,decnet,lat,sca,moprc,mopdl,tcpandudp.如果沒有特別指明是什么協(xié)議，則默認使用所有支持的協(xié)議。Direction（方向）:可能的值:src,dst,srcanddst,srcordst如果沒有特別指明來源或目的地，則默認使用“srcordst”作為關(guān)鍵字。例如，”host10.2.2.2″與”srcordsthost10.2.2.2″是一樣的。Host(s):可能的
4、值：net,port,host,portrange.如果沒有指定此值，則默認使用”host”關(guān)鍵字。例如，”src10.1.1.1″與”srchost10.1.1.1″相同。LogicalOperations（邏輯運算）:可能的值：not,and,or.否(“not”)具有最高的優(yōu)先級?；?“or”)和與(“and”)具有相同的優(yōu)先級，運算時從左至右進行。例如，“nottcpport3128andtcpport23″與”(nottcpport3128)andtcpport23″相同?！皀ottcpport3128andtcpport23″與”not(t
5、cpport3128andtcpport23)”不同。例子：tcpdstport3128顯示目的TCP端口為3128的封包。ipsrchost10.1.1.1顯示來源IP地址為10.1.1.1的封包。host10.1.2.3顯示目的或來源IP地址為10.1.2.3的封包。srcportrange2000-2500顯示來源為UDP或TCP，并且端口號在2000至2500范圍內(nèi)的封包。notimcp顯示除了icmp以外的所有封包。（icmp通常被ping工具使用）srchost10.7.2.12andnotdstnet10.200.0.0/16顯示來源IP
6、地址為10.7.2.12，但目的地不是10.200.0.0/16的封包。(srchost10.4.1.12orsrcnet10.6.0.0/16)andtcpdstportrange200-10000anddstnet10.0.0.0/8顯示來源IP為10.4.1.12或者來源網(wǎng)絡(luò)為10.6.0.0/16，目的地TCP端口號在200至10000之間，并且目的位于網(wǎng)絡(luò)10.0.0.0/8內(nèi)的所有封包。srcnet192.168.0.0/24srcnet192.168.0.0mask255.255.255.0顯示來源IP地址為10.1.1.1的封包。注意事
7、項：當(dāng)使用關(guān)鍵字作為值時，需使用反斜杠“”?！癳therprotoip”(與關(guān)鍵字”ip”相同).這樣寫將會以IP協(xié)議作為目標?！癷pprotoicmp”(與關(guān)鍵字”icmp”相同).這樣寫將會以ping工具常用的icmp作為目標?？梢栽凇眎p”或”ether”后面使用”multicast”及”broadcast”關(guān)鍵字。當(dāng)您想排除廣播請求時，”nobroadcast”就會非常有用。Protocol（協(xié)議）:您可以使用大量位于OSI模型第2至7層的協(xié)議。點擊”Expression…”按鈕后，您可以看到它們。比如：IP，TCP，DNS，SSHStr
8、ing1,String2(可選項):協(xié)議的子類。點擊相關(guān)父類旁的”+”號，然后選擇其子類。Co
