wireshark捕获过滤器与显示过滤器

《wireshark捕获过滤器与显示过滤器》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、Author:http://www.yatejx.com抽沙船Wireshark捕获过滤器与显示过滤器使用Wireshark时最常见的问题，是当您使用默认设置时，会得到大量冗余信息，以至于很难找到自己需要的部分。过犹不及。这就是为什么过滤器会如此重要。它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。--捕捉过滤器：用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。显示过滤器：在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。那么我应该使用哪一种过滤器呢？两种过滤器的目的

2、是不同的。捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。显示过滤器是一种更为强大（复杂）的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。两种过滤器使用的语法是完全不同的。我们将在接下来的几页中对它们进行介绍：                      1. 捕捉过滤器            2. 显示过滤器 1.捕捉过滤器捕捉过滤器的语法与其它使用Lipcap（Linux）或者Winpcap（Windows）库开发的软件一样，比如著名的TCPdu

3、mp。捕捉过滤器必须在开始捕捉前设置完毕，这一点跟显示过滤器是不同的。 设置捕捉过滤器的步骤是：-选择capture->options。-填写"capturefilter"栏或者点击"capturefilter"按钮为您的过滤器起一个名字并保存，以便在今后的捕捉中继续使用这个过滤器。-点击开始（Start）进行捕捉。 Author:http://www.yatejx.com抽沙船Author:http://www.yatejx.com抽沙船语法：ProtocolDirectionHost(s)Va

4、lueLogicalOperationsOtherexpression例子：tcpdst10.1.1.180andtcpdst10.2.2.23128 Protocol（协议）:可能的值:ether,fddi,ip,arp,rarp,decnet,lat,sca,moprc,mopdl,tcpandudp.如果没有特别指明是什么协议，则默认使用所有支持的协议。  Direction（方向）:可能的值:src,dst,srcanddst,srcorAuthor:http://www.yatejx.c

5、om抽沙船Author:http://www.yatejx.com抽沙船dst如果没有特别指明来源或目的地，则默认使用"srcordst"作为关键字。例如，"host10.2.2.2"与"srcordsthost10.2.2.2"是一样的。 

6、的值：not,and,or.否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级，运算时从左至右进行。例如，"nottcpport3128andtcpport23"与"(nottcpport3128)andtcpport23"相同。"nottcpport3128andtcpport23"与"not(tcpport3128andtcpport23)"不同。

7、来源IP地址为10.1.1.1的封包。host10.1.2.3显示目的或来源IP地址为10.1.2.3的封包。srcportrange2000-2500显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。notimcp显示除了icmp以外的所有封包。（icmp通常被ping工具使用）srchost10.7.2.12andnotdstnet10.200.0.0/16显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。(srchost10.4.1.12

8、orsrcnet10.6.0.0/16)andtcpdstportrange200-10000anddstnet10.0.0.0/8Author:http://www.yatejx.com抽沙船Author:http://www.yatejx.com抽沙船显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络10.0.0.0/8内的所有封包。 注意事项：当使用关键字作为值时，需使用反斜杠“”。"ether