6.2 Wireshark过滤器语法总结

6.2 Wireshark过滤器语法总结

语法：        Protocol        Direction        Host(s)        Value        Logical Operations        Other expression

例子：        tcp        dst        10.1.1.1        80        and        tcp dst 10.2.2.2 3128

语法说明

类型：host、net、port

方向Dir: src、dst

协议proto: ether、ip、tcp、udp、http、ftp

逻辑运算符：

and        &&        逻辑与

or        ||        逻辑或

xor        ^^        逻辑异或

not        !        逻辑非

举例说明

抓取源地址为10.12.160.10，目的为80端口的流量

src host 10.12.160.10 && dst port  80 

抓取10.12.12.254而且端口为8443的流量

host 10.12.12.254 and port 8443

抓取10.12.12.231和host 10.12.160.10的流量

host 10.12.12.231 || host 10.12.160.10

不要抓取广播包

!broadcast

抓取mac地址 xx: xx: xx: xx: xx: xx的流量

ether host aa:aa:aa:aa:aa:aa

Protocol（协议）:

可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.

如果没有特别指明是什么协议，则默认使用所有支持的协议。

Direction（方向）:

可能的值: src, dst, src and dst, src or dst

如果没有特别指明来源或目的地，则默认使用 “src or dst” 作为关键字。

例如，”host 10.2.2.2″与”src or dst host 10.2.2.2″是一样的。

Host(s):

可能的值： net, port, host, portrange.

如果没有指定此值，则默认使用”host”关键字。

例如，”src 10.1.1.1″与”src host 10.1.1.1″相同。

Logical Operations（逻辑运算）:

可能的值：not, and, or.

否(“not”)具有最高的优先级。或(“or”)和与(“and”)具有相同的优先级，运算时从左至右进行。

例如，

“not tcp port 3128 and tcp port 23″与”(not tcp port 3128) and tcp port 23″相同。

“not tcp port 3128 and tcp port 23″与”not (tcp port 3128 and tcp port 23)”不同。

例子：

tcp dst port 3128

显示目的TCP端口为3128的封包。

ip src host 10.1.1.1

显示来源IP地址为10.1.1.1的封包。

host 10.1.2.3

显示目的或来源IP地址为10.1.2.3的封包。

src portrange 2000-2500

显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。

not imcp

显示除了icmp以外的所有封包。（icmp通常被ping工具使用）

src host 10.7.2.12 and not dst net 10.200.0.0/16

显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。

(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8

显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络 10.0.0.0/8内的所有封包。

src net 192.168.0.0/24

src net 192.168.0.0 mask 255.255.255.0

显示来源IP地址为10.1.1.1的封包。

注意事项：

当使用关键字作为值时，需使用反斜杠“\”。

“ether proto \ip” (与关键字”ip”相同).

这样写将会以IP协议作为目标。

“ip proto \icmp” (与关键字”icmp”相同).

这样写将会以ping工具常用的icmp作为目标。

可以在”ip”或”ether”后面使用”multicast”及”broadcast”关键字。

当您想排除广播请求时，”no broadcast”就会非常有用。

Protocol（协议）:

您可以使用大量位于OSI模型第2至7层的协议。点击”Expression…”按钮后，您可以看到它们。

比如：IP，TCP，DNS，SSH

String1, String2 (可选项):

协议的子类。

点击相关父类旁的”+”号，然后选择其子类。

Comparison operators （比较运算符）:

可以使用6种比较运算符：

英文写法：        C语言写法：        含义：

eq        ==        等于

ne        !=        不等于

gt        >        大于

lt        <        小于

ge        >=        大于等于

le        <=        小于等于

Logical expressions（逻辑运算符）:

英文写法：        C语言写法：        含义：

and        &&        逻辑与

or        ||        逻辑或

xor        ^^        逻辑异或

not        !        逻辑非

显示过滤器

语法：        Protocol        .        String 1        .        String 2        Comparison

operator        Value        Logical

Operations        Other

expression

例子：        ftp                passive                ip        ==        10.2.3.4        xor        icmp.type

例子：

snmp || dns || icmp        显示SNMP或DNS或ICMP封包。

ip.addr == 10.1.1.1

显示来源或目的IP地址为10.1.1.1的封包。

ip.src != 10.1.2.3 or ip.dst != 10.4.5.6

显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。

换句话说，显示的封包将会为：

来源IP：除了10.1.2.3以外任意；目的IP：任意

以及

来源IP：任意；目的IP：除了10.4.5.6以外任意

ip.src != 10.1.2.3 and ip.dst != 10.4.5.6

显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。

换句话说，显示的封包将会为：

来源IP：除了10.1.2.3以外任意；同时须满足，目的IP：除了10.4.5.6以外任意

tcp.port == 25        显示来源或目的TCP端口号为25的封包。

tcp.dstport == 25        显示目的TCP端口号为25的封包。

tcp.flags        显示包含TCP标志的封包。

tcp.flags.syn == 0×02        显示包含TCP SYN标志的封包。

如果过滤器的语法是正确的，表达式的背景呈绿色。如果呈红色，说明表达式有误。

Wireshark 过滤器表达式

协议过滤

    TCP：只显示 TCP 协议的数据流

    HTTP：只显示 HTTP 协议的数据流

    ICMP：只显示 ICMP 协议的数据流

    ARP：只显示 ARP 协议的数据流

    DNS：显示 DNS 协议的数据流

IP 过滤

    ip.addr = 192.168.116.138，只显示 ip 为 192.168.116.138 有关的数据流

    ip.src = 192.168.116.138，只显示源 IP 地址为 192.168.116.138 的数据流

    ip.dst = 192.168.116.138，只显示目标 IP 地址为 192.168.116.138 的数据流

端口过滤

    tcp.port == 80，只显示 80 端口 TCP 数据流

    udp.prot == 67，只显示 67 端口 UDP 数据流

    tcp.srcport == 80, 只显示源地址的 80 端口数据流

    tcp.dstport == 80，只显示目的地址 80 端口数据流

过滤 HTTP 协议

    http.request.method==”GET”，显示 get 请求

    *http.request.method==”POST” *，显示 POST 请求

    *http.request.url contains admin *，显示 url 中包含 admin 的请求

    http.request.code==404，显示状态码为 404

连接符

    and

    or

    例如 tcp.port == 80 and ip.addr = 192.168.116.138

6.1 Wireshark：捕获过滤器 (只抓icmp包) 、src host 10.12.160.10 && dst port 80
http://www.zh-cjh.com/wangluoanquan/2114.html
6.2 Wireshark过滤器语法总结
http://www.zh-cjh.com/wangluoanquan/2115.html
6.3 Wireshark：显示过滤器
http://www.zh-cjh.com/wangluoanquan/2116.html

Wireshark抓包工具（列表、list、全）Wiresharklist
http://www.zh-cjh.com/wenzhangguilei/2125.html
文章归类、所有文章列表、LISTLIST
http://www.zh-cjh.com/wangzhangonggao/2195.html