wireshark dns域名筛选 wireshark筛选ip地址

0 常见的操作符

wireshark中有几个比较常见的条件判断操作符：

操作符	操作符	含义
eq	r==	等于
ne	!=	不等于
gt	>	大于
ge	>=	大于等于
lt	<	小于
le	<=	小于等于
and	&&	与
or
not	！	非

复杂的条件运算建议加上括号进行区分 ()

1、IP地址相关的过滤：

ip.addr == 127.0.0.1 //过滤ip地址为 127.0.0.1的包（包括源和目的）
ip.src == 192.168.1.55 //过滤源ip地址为 192.168.1.55的包
ip.dst == 192.168.1.55 //过滤目的ip地址为 192.168.1.55的包

上述同样可以用host来进行代替例如：

ip.host  ip.src_host  ip.dst_host

此外还有许多有关ip相关的过滤规则，常见就是以上几种，其他的信息就是和 ip层协议（第三层协议）相关的内容了，具体可以查看《tcp/ip详解卷一》第三章

2、tcp相关过滤规则

到tcp/udp这一层（传输层）就没有ip地址的概念了。

端口相关

• tcp.port == 8080
• tcp.srcport == 9527
• tcp.dstport == 1883

tcp数据长度

• tcp.len == 29

tcp的标志位

• tcp.flags.fin == 1
• tcp.flags.ack == 1
• tcp.flags.syn == 1
• tcp.flags.push == 1
• tcp.flags.reset == 1
• tcp.flags == 0x002
  
  这些和具体tcp协议标志相关，推荐相关数据进行深层次阅读《tcp/ip详解卷一》第三章 网际协议 在这里不进行详细解答，有时间利用相关的例子对每一个标志进行剖析

tcp 16进制内容进行过滤

tcp[20:2] == 33:44

tcp协议本身的长度位 20 从20个字节开始也就是真正的数据段，该句话的意思是检索tcp数据段中以 33 44 开头的报文

tcp 对ASCII 字符进行过滤

tcp contains "bms"

该句含义是 过滤 tcp报文中包含字符串bms的报文

data contains "bms"  // tcp 或者udp数据段中包含bms的报文

有关tcp就简单介绍这些 还有许多有关tcp的过滤规则，通常都和tcp的传输协议有关，建议阅读相关介绍tcp的书籍。

3、udp 相关过滤规则

udp相对tcp来说相对简单

端口相关

• udp.port == 8080
• udp.srcport == 9527
• udp.dstport == 1883

udp 数据长度

• udp.length == 8 + 22 //udp本身的8个字节加上 数据段长度

udp 16进制内容进行过滤

用法与tcp类似

udp[8:2] == 33:44

udp协议本身的长度位 8 从8个字节开始也就是真正的数据段，该句话的意思是检索udp数据段中以 33 44 开头的报文

udp 对ASCII 字符进行过滤

用法与tcp类似

udp contains "bms"

该句含义是 过滤 tcp报文中包含字符串bms的报文