Wireshark OSI二层抓包过滤规则和显示过滤规则实例

Posted 2021-01-30

wireshark的主界面示例如下：

抓包规则正确：过滤器对话框显示为“绿色”

抓包规则错误：过滤器对话框显示为“橘色”

抓包过滤器
Ethernet过滤器（OSI第二层过滤器）

#ether host 8c:ec:4b:69:a6:a7 抓取以太网流量的源或目的MAC地址（比如：ether host 00:00:5e:00:53:00）

#ether dst host 8c:ec:4b:69:a6:a7

#ether dst 8c:ec:4b:69:a6:a7 抓取以太网流量的目的MAC地址

#ether src 8c:ec:4b:69:a6:a7 抓取以太网流量的源的MAC地址

#ether broadcast 抓取以太网广播流量

#ether multicast 抓取以太网多播流量

#ether proto XXXX 所抓以太网流量的以太网协议类型编号（比如：ether proto 0x0806）

#vlan 206 只抓取指定VLAN的流量
note：抓取希望抓取的数据包是否成功，除了必须有正确的抓包规则之外，部署抓包工具在合适的网络位置也是必不可少的原则。因为，当前测试PC部署的位置原因，这里是抓取不到vlan 206 报文的，所以没有抓取结果截图，不过没有关系我们依然可以通过颜色来判断，语法是正确的；

常见的以太网协议类型字段
0x0800 IP
0x0806 ARP
0x8137 Novell IPX
0x809b Apple Talk
0x8864 PPPoE
0x8100 802.1Q
0x86DD IPV6
0x8847 MPLS Label
0x0000 - 0x05DC IEEE 802.3
0x0101 – 0x01FF 实验
0x0600 XEROX NS IDP
0x0660 DLOG
0x0661 DLOG
0x0801 X.75 Internet
0x0802 NBS Internet
0x0803 ECMA Internet
0x0804 Chaosnet
0x0805 X.25 Level 3
0x0808 帧中继 ARP （Frame Relay ARP） [RFC1701]
0x6559 原始帧中继（Raw Frame Relay） [RFC1701]
0x8035 动态 DARP （DRARP：Dynamic RARP）
反向地址解析协议（RARP：Reverse Address Resolution Protocol）
0x8037 Novell Netware IPX
0x809B EtherTalk
0x80D5 IBM SNA Services over Ethernet
0x80F3 AppleTalk 地址解析协议（AARP：AppleTalk Address Resolution Protocol）
0x8100 以太网自动保护开关（EAPS：Ethernet Automatic Protection Switching）
0x8137 因特网包交换（IPX：Internet Packet Exchange）
0x814C 简单网络管理协议（SNMP：Simple Network Management Protocol）
0x86DD 网际协议v6 （IPv6，Internet Protocol version 6）
0x880B 点对点协议（PPP：Point-to-Point Protocol）
0x 880C 通用交换管理协议（GSMP：General Switch Management Protocol）
0x8847 多协议标签交换（单播） MPLS：Multi-Protocol Label Switching <unicast>）
0x8848 多协议标签交换（组播）（MPLS, Multi-Protocol Label Switching <multicast>）
0x8863 以太网上的 PPP（发现阶段）（PPPoE：PPP Over Ethernet <Discovery Stage>）
0x8864 以太网上的 PPP（PPP 会话阶段） （PPPoE，PPP Over Ethernet<PPP Session Stage>）
0x88BB 轻量级访问点协议（LWAPP：Light Weight Access Point Protocol）
0x88CC 链接层发现协议（LLDP：Link Layer Discovery Protocol）
0x8E88 局域网上的 EAP（EAPOL：EAP over LAN）
0x9000 配置测试协议（Loopback）
0x9100 VLAN 标签协议标识符（VLAN Tag Protocol Identifier）
0x9200 VLAN 标签协议标识符（VLAN Tag Protocol Identifier）

#ether proto 0x0806

#proto 0x80F3

#not broadcast and not multicast 不抓取广播和多播数据包（只抓取单播包）

Ethernet过滤器（OSI第二层显示过滤器）

#ether host 8C-EC-4B-69-A6-A7 --抓取主机MAC 是8C-EC-4B-69-A6-A7的所有数据包

#tcp

#eth.addr eq 84:b8:02:1a:b2:ff and eth.addr eq 8c:ec:4b:69:a6:a7

#eth.type == 0x0800

OSI的二层wireshark 抓包和显示过滤规则还有非常多的应用场景，这里只是列举部分示例，想要深入的账号这些规则和用法还需要多实践。