wireshark捕获过滤器与显示过滤器.doc

《wireshark捕获过滤器与显示过滤器.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、个人收集整理勿做商业用途Wireshark捕获过滤器与显示过滤器使用Wireshark时最常见的问题，是当您使用默认设置时,会得到大量冗余信息，以至于很难找到自己需要的部分。过犹不及.这就是为什么过滤器会如此重要.它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。——捕捉过滤器：用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。显示过滤器：在捕捉结果中进行详细查找.他们可以在得到捕捉结果后随意修改。那么我应该使用哪一种过滤器呢？两种过滤器的目的是不同的。捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的

2、数量，以避免产生过大的日志文件。显示过滤器是一种更为强大(复杂）的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录.两种过滤器使用的语法是完全不同的。我们将在接下来的几页中对它们进行介绍：                      1. 捕捉过滤器            2。 显示过滤器 1.捕捉过滤器捕捉过滤器的语法与其它使用Lipcap（Linux）或者Winpcap（Windows）库开发的软件一样，比如著名的TCPdump.捕捉过滤器必须在开始捕捉前设置完毕,这一点跟显示过滤器是不同的。 设置捕捉过滤器的步骤是

3、：-选择capture—〉options。—填写"capturefilter”栏或者点击”capturefilter"按钮为您的过滤器起一个名字并保存，以便在今后的捕捉中继续使用这个过滤器。—点击开始(Start)进行捕捉. 个人收集整理勿做商业用途语法：ProtocolDirectionHost（s）ValueLogicalOperationsOtherexpression例子：tcpdst10.1。1。180andtcpdst10.2。2。23128 Protocol（协议）：可能的值:ether，fddi，ip,arp

4、,rarp,decnet,lat,sca，moprc，mopdl,tcpandudp。如果没有特别指明是什么协议，则默认使用所有支持的协议。  Direction(方向）:可能的值：src,dst，srcanddst，srcor个人收集整理勿做商业用途dst如果没有特别指明来源或目的地，则默认使用”srcordst”作为关键字.例如，”host10。2.2。2”与"srcordsthost10。2。2。2"是一样的. 〈br Host（s)：可能的值：net,port，host,portrange。如果没有指定此值,则默认使

5、用”host"关键字。例如，"src10。1。1.1"与"srchost10.1.1.1”相同。  LogicalOperations(逻辑运算)：可能的值：not，and，or。否(”not”)具有最高的优先级。或（"or”）和与（”and”）具有相同的优先级，运算时从左至右进行.例如，"nottcpport3128andtcpport23”与”(nottcpport3128）andtcpport23"相同。”nottcpport3128andtcpport23"与"not(tcpport3128andtcpport23)

6、"不同。〈/br本文为互联网收集，请勿用作商业用途例子：tcpdstport3128显示目的TCP端口为3128的封包。ipsrchost10。1。1.1显示来源IP地址为10.1。1.1的封包.host10。1。2.3显示目的或来源IP地址为10。1。2。3的封包.srcportrange2000-2500显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包.notimcp显示除了icmp以外的所有封包.（icmp通常被ping工具使用）srchost10.7。2.12andnotdstnet10。200。

7、0。0/16显示来源IP地址为10。7.2。12，但目的地不是10.200。0.0/16的封包.个人收集整理勿做商业用途（srchost10。4。1.12orsrcnet10.6。0。0/16）andtcpdstportrange200-10000anddstnet10。0。0.0/8显示来源IP为10。4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间,并且目的位于网络10.0。0。0/8内的所有封包。 注意事项：当使用关键字作为值时，需使用反斜杠“”。”etherprotoi

8、p"（与关键字"ip"相同）.这样写将会以IP协议作为目标。"ipprotoicmp”（与关键字”icmp"相同）.这样写将会以ping工具常用的icmp作为目标. 可以在”ip”或"ether"后面使用”multicast"及"broadcast”关键字。当您想排除广播请求时,”nob