Wireshark 基本语法，基本使用方法，及包过滤规则：
 
1.过滤IP，如来源IP或者目标IP等于某个IP
 
例子:
 
ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107
 
或者
 
ip.addr eq 192.168.1.107 // 都能显示来源IP和目标IP
 
 
 
Linux上运行的wireshark图形窗口截图示例，其他过虑规则操作类似，不再截图。
 
ip.src eq 10.175.168.182
 
截图示例：
 
 
提示： 在Filter编辑框中，收入过虑规则时，如果语法有误，框会显红色，如正确，会是绿色。
 
 
 
 
 
2.过滤端口
 
例子:
 
tcp.port eq 80 // 不管端口是来源的还是目标的都显示
 
tcp.port == 80
 
tcp.port eq 2722
 
tcp.port eq 80 or udp.port eq 80
 
tcp.dstport == 80 // 只显tcp协议的目标端口80
 
tcp.srcport == 80 // 只显tcp协议的来源端口80
 
 
 
udp.port eq 15000
 
 
 
过滤端口范围
 
tcp.port >= 1 and tcp.port <= 80
 
 
 
 
 
 
 
3.过滤协议
 
例子:
 
tcp
 
udp
 
arp
 
icmp
 
http
 
smtp
 
ftp
 
dns
 
msnms
 
ip
 
ssl
 
oicq
 
bootp
 
等等
 
 
 
排除arp包，如!arp   或者   not arp
 
 
 
 
 
4.过滤MAC
 
太以网头过滤
 
eth.dst == A0:00:00:04:C5:84 // 过滤目标mac
 
eth.src eq A0:00:00:04:C5:84 // 过滤来源mac
 
eth.dst==A0:00:00:04:C5:84
 
eth.dst==A0-00-00-04-C5-84
 
eth.addr eq A0:00:00:04:C5:84 // 过滤来源MAC和目标MAC都等于A0:00:00:04:C5:84的
 
 
 
 
 
less than 小于 < lt 
 
小于等于 le
 
 
 
 
 
等于 eq
 
大于 gt
 
大于等于 ge
 
不等 ne
 
 
 
 
 
 
 
5.包长度过滤
 
例子:
 
udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和
 
tcp.len >= 7   指的是ip数据包(tcp下面那块数据),不包括tcp本身
 
ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后
 
frame.len == 119 整个数据包长度,从eth开始到最后
 
 
 
eth —> ip or arp —> tcp or udp —> data
 
 
 
 
 
6.http模式过滤
 
例子:
 
http.request.method == “GET”
 
http.request.method == “POST”
 
http.request.uri == “/img/logo-edu.gif”
 
http contains “GET”
 
http contains “HTTP/1.”
 
 
 
 
 
// GET包
 
http.request.method == “GET” && http contains “Host: “
 
http.request.method == “GET” && http contains “User-Agent: “
 
// POST包
 
http.request.method == “POST” && http contains “Host: “
 
http.request.method == “POST” && http contains “User-Agent: “
 
// 响应包
 
http contains “HTTP/1.1 200 OK” && http contains “Content-Type: “
 
http contains “HTTP/1.0 200 OK” && http contains “Content-Type: “
 
一定包含如下
 
Content-Type:
 
 
 
 
 
 
 
 
7.TCP参数过滤
 
tcp.flags 显示包含TCP标志的封包。
 
tcp.flags.syn == 0x02     显示包含TCP SYN标志的封包。
 
tcp.window_size == 0 && tcp.flags.reset != 1
 
 
 
 
 
 
 
 
8.包内容过滤
 
-----------------------------------------------
 
 
 
 
 
tcp[20]表示从20开始，取1个字符
 
tcp[20:]表示从20开始，取1个字符以上
 
注： 些两虚线中的内容在我的wireshark（linux）上测试未通过。
 
--------------------------------------------------
 
    
 
tcp[20:8]表示从20开始，取8个字符
 
tcp[offset,n]
 
 
 
 
 
udp[8:3]==81:60:03 // 偏移8个bytes,再取3个数，是否与==后面的数据相等？
 
udp[8:1]==32   如果我猜的没有错的话，应该是udp[offset:截取个数]=nValue
 
eth.addr[0:3]==00:06:5B
 
 
 
 
 
例子:
 
判断upd下面那块数据包前三个是否等于0x20 0x21 0x22
 
我们都知道udp固定长度为8
 
udp[8:3]==20:21:22
 
 
 
 
 
判断tcp那块数据包前三个是否等于0x20 0x21 0x22
 
tcp一般情况下，长度为20,但也有不是20的时候
 
tcp[8:3]==20:21:22
 
如果想得到最准确的，应该先知道tcp长度
 
 
 
 
 
matches(匹配)和contains(包含某字符串)语法
 
ip.src==192.168.1.107 and udp[8:5] matches “\\x02\\x12\\x21\\x00\\x22″        ------???--------
 
ip.src==192.168.1.107 and udp contains 02:12:21:00:22
 
ip.src==192.168.1.107 and tcp contains “GET”
 
udp contains 7c:7c:7d:7d 匹配payload中含有0x7c7c7d7d的UDP数据包，不一定是从第一字节匹配。
 
 
 
 
 
 
 
--------------------------------------不理解Begin------------------------------------------------------------------------------------
 
例子:
 
得到本地qq登陆数据包(判断条件是第一个包==0x02,第四和第五个包等于0x00x22,最后一个包等于0x03)
 
0x02 xx xx 0x00 0x22 … 0x03
 
如何拼写过虑条件？？？
 
    
 
udp[11:2]==00:00 表示命令编号为00:00
 
udp[11:2]==00:80 表示命令编号为00:80
 
当命令编号为00:80时，QQ号码为00:00:00:00
 
 
 
 
 
得到msn登陆成功账号(判断条件是”USR 7 OK “,即前三个等于USR，再通过两个0x20，就到OK,OK后面是一个字符0x20,后面就是mail了)
 
USR xx OK mail@hotmail.com
 
正确
 
msnms and tcp and ip.addr==192.168.1.107 and tcp[20:] matches “^USR\\x20[\\x30-\\x39]+\\x20OK\\x20[\\x00-\\xff]+”
 
 
 
 
 
-------------------------------------不理解End---------------------------------------------------------------------------------------
 

  
 
9.dns模式过滤
 
 
 
 
 
 
 
10.DHCP
 
注意：DHCP协议的检索规则不是dhcp/DHCP， 而是bootp
 
以寻找伪造DHCP服务器为例，介绍Wireshark的用法。在显示过滤器中加入过滤规则，
 
显示所有非来自DHCP服务器并且bootp.type==0x02（Offer/Ack/NAK）的信息：
 
bootp.type==0x02 and not ip.src==192.168.1.1
 
 
 
 
 
 
 
11.msn
 
msnms && tcp[23:1] == 20 // 第四个是0x20的msn数据包
 
msnms && tcp[20:1] >= 41 && tcp[20:1] <= 5A && tcp[21:1] >= 41 && tcp[21:1] <= 5A && tcp[22:1] >= 41 && tcp[22:1] <= 5A
 
msnms && tcp[20:3]==”USR” // 找到命令编码是USR的数据包
 
msnms && tcp[20:3]==”MSG” // 找到命令编码是MSG的数据包
 
tcp.port == 1863 || tcp.port == 80
 
 
 
 
 
如何判断数据包是含有命令编码的MSN数据包?
 
1)端口为1863或者80,如:tcp.port == 1863 || tcp.port == 80
 
2)数据这段前三个是大写字母,如:
 
tcp[20:1] >= 41 && tcp[20:1] <= 5A && tcp[21:1] >= 41 && tcp[21:1] <= 5A && tcp[22:1] >= 41 && tcp[22:1] <= 5A
 
3)第四个为0x20,如:tcp[23:1] == 20
 
4)msn是属于TCP协议的,如tcp
 
 
 
 
 
MSN Messenger 协议分析
 
http://blog.csdn.net/Hopping/archive/2008/11/13/3292257.aspx
 
 
 
 
 
MSN 协议分析
 
http://blog.csdn.net/lzyzuixin/archive/2009/03/13/3986597.aspx
 
 
 
 
 
 
 
更详细的说明
 
<<wireshark过滤表达式实例介绍>>
 
http://www.csna.cn/viewthread.php?tid=14614
 
 
 
 
 
Wireshark 主界面的操作菜单中英对比
 
http://www.csna.cn/viewthread.php?tid=9645&extra=page=1
 
 
 
 
12. wireshark字符串过虑语法字符
 
如下内容转自：http://www.csna.cn/viewthread.php?tid=14614
 
 
 
类似正则表达式的规则。
 
 1、wireshark基本的语法字符
 
 
 
\d          0-9的数字
 
\D          \d的补集（以所以字符为全集，下同），即所有非数字的字符
 
\w          单词字符，指大小写字母、0-9的数字、下划线
 
\W          \w的补集
 
\s          空白字符，包括换行符\n、回车符\r、制表符\t、垂直制表符\v、换页符\f
 
\S          \s的补集
 
.          除换行符\n外的任意字符。 在Perl中，“.”可以匹配新行符的模式被称作“单行模式”
 
.*       匹配任意文本，不包括回车(\n)? 。 而，[0x00-0xff]*        匹配任意文本,包括\n
 
[…]          匹配[]内所列出的所有字符
 
[^…]          匹配非[]内所列出的字符
 
 
 
 
 
—————————————————————————————-
 
2、定位字符  所代表的是一个虚的字符，它代表一个位置，你也可以直观地认为“定位字符”所代表的是某个字符与字符间的那个微小间隙。
 
 
 
 
 
^          表示其后的字符必须位于字符串的开始处
 
$          表示其前面的字符必须位于字符串的结束处
 
\b          匹配一个单词的边界
 
\B          匹配一个非单词的边界
 
 
 
 
 
—————————————————————————————-
 
3、重复描述字符
 
 
 
 
 
{n}          匹配前面的字符n次
 
{n,}          匹配前面的字符n次或多于n次
 
{n,m}          匹配前面的字符n到m次
 
?          匹配前面的字符0或1次
 
+          匹配前面的字符1次或多于1次
 
*          匹配前面的字符0次或式于0次
 
 
 
 
 
—————————————————————————————-
 
4、and or 匹配
 
 
 
 
 
and 符号 并
 
or  符号 或
 
例如：
 
tcp and tcp.port==80
 
tcp or udp
 
 
 
 
 
—————————————————————————————-
 
5、wireshark过滤匹配表达式实例
 
 
 
 
 
5.1、搜索按条件过滤udp的数据段payload（数字8是表示udp头部有8个字节，数据部分从第9个字节开始udp[8:]）
 
udp[8]==14        (14是十六进制0x14)匹配payload第一个字节0x14的UDP数据包
 
udp[8:2]==14:05 可以udp[8:2]==1405，且只支持2个字节连续，三个以上须使用冒号：分隔表示十六进制。 (相当于 udp[8]==14 and udp[9]==05,1405是0x1405)
 
udp[8:3]==22:00:f7 但是不可以udp[8:3]==2200f7
 
udp[8:4]==00:04:00:2a，匹配payload的前4个字节0x0004002a
 
而udp contains 7c:7c:7d:7d 匹配payload中含有0x7c7c7d7d的UDP数据包，不一定是从第一字节匹配。
 
udp[8:4] matches “\\x14\\x05\\x07\\x18″
 
udp[8:] matches “^\\x14\\x05\\x07\\x18\\x14″
 
 
 
 
 
5.2、搜索按条件过滤tcp的数据段payload（数字20是表示tcp头部有20个字节，数据部分从第21个字节开始tcp[20:]）
 
tcp[20:] matches “^GET [ -~]*HTTP/1.1\\x0d\\x0a”
 
等同http matches “^GET [ -~]*HTTP/1.1\\x0d\\x0a”
 
 
 
 
 
tcp[20:] matches “^GET (.*?)HTTP/1.1\\x0d\\x0a”
 
tcp[20:] matches “^GET (.*?)HTTP/1.1\\x0d\\x0a[\\x00-\\xff]*Host: (.*?)pplive(.*?)\\x0d\\x0a”
 
tcp[20:] matches “^GET (.*?)HTTP/1.1\\x0d\\x0a[\\x00-\\xff]*Host: “
 
tcp[20:] matches “^POST / HTTP/1.1\\x0d\\x0a[\\x00-\\xff]*\\x0d\\x0aConnection: Keep-Alive\\x0d\\x0a\\x0d\\x0a”
 
 
 
 
 
检测SMB头的smb标记，指明smb标记从tcp头部第24byte的位置开始匹配。
 
tcp[24:4] == ff:53:4d:42
 
 
 
 
 
检测SMB头的smb标记，tcp的数据包含十六进制ff:53:4d:42，从tcp头部开始搜索此数据。
 
tcp contains ff:53:4d:42
 
tcp matches “\\xff\\x53\\x4d\\x42″
 
 
 
 
 
检测tcp含有十六进制01:bd,从tcp头部开始搜索此数据。
 
tcp matches “\\x01\\xbd”
 
 
 
 
 
检测MS08067的RPC请求路径
 
tcp[179:13] == 00:5c:00:2e:00:2e:00:5c:00:2e:00:2e:00
 
                  \      .     .     \     .     .
 
5.3、其他
 
http.request.uri matches “.gif$” 匹配过滤HTTP的请求URI中含有”.gif”字符串，并且以.gif结尾（4个字节）的http请求数据包（$是正则表达式中的结尾表示符）
 
注意区别：http.request.uri contains “.gif$” 与此不同，contains是包含字符串”.gif$”（5个字节）。匹配过滤HTTP的请求URI中含有”.gif$”字符串的http请求数据包（这里$是字符，不是结尾符）
 
 
 
eth.addr[0:3]==00:1e:4f 搜索过滤MAC地址前3个字节是0x001e4f的数据包。

使用捕获或者显示过滤，wireshark可以仅捕获/显示经过指定ip的数据包，即某个ip收到或者发出的所有数据包。wireshare捕获/显示过滤使用方法见“wireshare过滤器”。
 
显示过滤：wireshark过滤经过指定ip的数据包
 
显示过滤可以完整的复现测试时的网络环境，但会产生较大的捕获文件和内存占用。
 
ip.addr ==192.168.1.1 //显示所有目标或源地址是192.168.1.1的数据包
 ip.dst==192.168.1.1 //显示目标地址是192.168.1.1的数据包
 ip.src ==192.168.1.1 //显示源地址是192.168.1.1的数据包
 
eth.addr== 80:f6:2e:ce:3f:00   //根据MAC地址过滤，详见“wireshark过滤MAC地址/物理地址”
 
ip.src==192.168.0.0/16   //网络过滤，过滤一个网段
 
捕获过滤：wireshark捕获经过指定ip的数据包
 
捕捉过滤抓包前在capture option中设置，仅捕获符合条件的包，可以避免产生较大的捕获文件和内存占用，但不能完整的复现测试时的网络环境。
 
host 192.168.1.1      //抓取192.168.1.1 收到和发出的所有数据包
 src host 192.168.1.1    //源地址，192.168.1.1发出的所有数据包
 dst host 192.168.1.1    //目标地址，192.168.1.1收到的所有数据包
 
src host hostname    //根据主机名过滤
 
ether  host 80:05:09:03:E4:35    //根据MAC地址过滤
 
net 192.168.1    //网络过滤，过滤整个网段
 src net 192.168
 dst net 192
 
使用“非/且/或”建立组合过滤条件可以获得更精确的捕获
 
非: ! or “not” (去掉双引号)
 且: && or “and”
 或: || or “or”
 
wirershark过滤指定ip收发数据包示例：
 
抓取所有目的地址是192.168.1.2 或192.168.1.3 端口是80 的TCP 数据
 
(tcp port 80) and ((dst host 192.168.1.2) or (dst host
 192.168.1.3))   //捕获过滤
 
tcp.port==80&&(ip.dst==192.168.1.2||ip.dst==192.168.1.3)    //显示过滤
 
抓取所有目标MAC 地址是80:05:09:03:E4:35 的ICMP 数据
 
(icmp) and ((ether dst host 80:05:09:03:E4:35))
 
icmp && eth.dst==80:05:09:03:E4:35
 
抓取所有目的网络是192.168，但目的主机不是192.168.1.2 的TCP 数据
 
(tcp) and ((dst net 192.168) and (not dst host 192.168.1.2))
 
tcp&&ip.src==192.168.0.0/16&&!(ip.src==192.168.1.2)
 
捕获主机192.168.1.1 和主机192.168.1.2 或192.168.1.3的通信
 
host 192.168.1.1 and  (192.168.1.2 or 192.168.1.3 )
 
ip.addr==192.168.1.1&&(ip.addr==192.168.1.2||ip.addr==192.168.1.3)
 
获取主机192.168.1.1除了和主机192.168.1.2之外所有主机通信的数据包
 
host 192.168.1.1 and ! 192.168.1.2
 
ip.addr==192.168.1.1&&!ip.addr==192.168.1.2
 
获取主机192.168.1.1接收或发出的telnet包，telnet使用tcp 23端口
 
tcp port 23 and host 192.168.1.1
 
tcp.port==23&&ip.addr==192.168.1.1

1.选择PC上网卡
 
 
 
 
 
 
 
2.抓包成功
 
 
 
 
二、Wireshark常用过滤使用方法
 
 
1.过滤源ip、目的ip。
 
在wireshark的过滤规则框Filter中输入过滤条件。如查找目的地址为192.168.101.8的包，ip.dst==192.168.101.8；查找源地址为ip.src==1.1.1.1
 
 
2.端口过滤。
 
如过滤80端口，在Filter中输入，tcp.port==80，这条规则是把源端口和目的端口为80的都过滤出来。使用tcp.dstport==80只过滤目的端口为80的，tcp.srcport==80只过滤源端口为80的包
 
 
3.协议过滤
 
比较简单，直接在Filter框中直接输入协议名即可，如过滤HTTP的协议
 
 
4.http模式过滤
 
如过滤get包，http.request.method=="GET",过滤post包，http.request.method=="POST"
 
 
5.连接符and的使用。
 
过滤两种条件时，使用and连接，如过滤ip为192.168.101.8并且为http协议的，ip.src==192.168.101.8 and http。

 
 
整理自陈鑫杰老师的wireshark教程课
 
 


 
文章目录
 
wireshark 抓包过滤器
一、抓包过滤器
过滤mac地址：
过滤IP地址：
过滤端口：
过滤协议：
    
二、显示过滤器
比较符：
逻辑操作符：
ip地址：
端口过滤：
协议过滤：
   
  
 

 
wireshark 抓包过滤器
 
过滤器分为抓包过滤器和显示过滤器，抓包过滤器会将不满足过滤条件的包丢弃，只保留满足条件的包，而显示过滤器则是对已抓取的包做过滤，过滤出满足条件的包。
 
显示过滤器可以保留全部的报数据，方便后期做流量分析，而抓包过滤器保留的数据有限，后期分析有局限性。
 
一、抓包过滤器
 
 
wireshark抓包是基于其内部的libpcap/wincap库
 
打开软件时直接在filter栏输入过滤规则即可，如下以wireshark2.6举例
 
Capture --> Options
 
 
 
使用的是BFP语法（Berkeley Packet Filter），一共四个元素：
 
类型（Type） 
  
host、net、port
 
方向（Dir） 
  
src、dst
 
协议（Proto） 
  
ether、ip、tcp、udp、http、ftp
 
逻辑运算符 
  
&& 与
|| 或
! 非
 
 
 
 
示例：
 
 
抓取源地址为192.168.1.1，目的端口为80的流量
 
src host 192.168.1.1 && dst port 80
 
抓取192.168.1.1和192.168.1.2的流量
 
host 192.168.1.1 || host 192.168.1.2
 
不要抓取广播包
 
! broadcast
 
过滤mac地址：
 
ether host 00:88:ca:86:f8:0d
ether src host 00:88:ca:86:f8:0d
ether dst host 00:88:ca:86:f8:0d
 
过滤IP地址：
 
host 192.168.1.1
src host 192.168.1.1
dst host 192.168.1.1
 
过滤端口：
 
port 80
!port 80
dst port 80
src port 80
 
过滤协议：
 
arp
icmp
 
结合逻辑符号综合过滤
 
host 192.168.1.1 && port 8080
 
二、显示过滤器
 
 
使用显示过滤器需先用软件进行抓包，然后在软件filter栏输入过滤规则：
 
 
比较符：
 
 
== 等于
 
 
!= 不等于
 
 
> 大于
 
 
< 小于
 
 
>= 大于等于
 
 
<= 小于等于
 
 
逻辑操作符：
 
and 两个条件同时满足
or 其中一个条件被满足
xor 有且仅有一个条件被满足
not 没有条件被满足
 
ip地址：
 
ip.addr ip地址
ip.src 源ip
ip.dst 目标ip
 
端口过滤：
 
tcp.port
tcp.srcport
tcp.dstport
tcp.flags.syn 过滤包含tcp的syn请求的包
tcp.flags.ack 过滤包含tcp的ack应答的包
 
协议过滤：
 
arp、ip、icmp、udp、tcp、bootp、dns等
 
 
 
示例：
 
 
过滤IP地址：
 
ip.addr == 192.168.1.1   过滤该地址的包
ip.src == 172.16.1.1  过滤源地址为该地址的包
 
过滤端口：
 
tcp.port == 80 过滤tcp中端口号为80的包
tcp.flags.syn == 1 过滤syn请求为1的包
 
结合逻辑符综合过滤：
 
ip.src == 192.168.1.1 and ip.dst == 172.16.1.1