Wareshark学习笔记

Posted Kn0w_N0ThInG

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Wareshark学习笔记相关的知识,希望对你有一定的参考价值。

捕获数据技巧

 在使用过滤器的时候wireshark是有自动补全功能的

 

根据单个IP地址过滤数据包

host 10.10.0.1:捕获目的地址和源地址为10.10.0.1的数据

host IPv6 :捕获IPv6地址的数据

not host IP :捕获除IP之外的数据

src host IP :捕获来自IP的数据

dst host IP :捕获到达IP的数据

host IP1 or host IP2 :捕获两个IP的数据

host www.xxx.com :捕获解析www.xxx.com的IP地址上的数据

 

根据广播和多播地址过滤数据

ip broadcast :捕获到255.255.255.255的数据

ip multicast :捕获通过224.0.0.0~239.255.255.255的数据

dst host ff02::1 :捕获所有主机到IPv6多播地址的数据

dst host ff02::2 :捕获所有路由到IPv6多播地址的数据

 

根据MAC地址过滤数据

ether host MAC地址1 :捕获MAC地址1的数据

ether src MAC地址2:捕获来自MAC地址2的数据

ether dst MAC地址3:捕获来自MAC地址3的数据

not ether host MAC地址4:捕获除MAC地址4以外的数据

 

根据端口号过滤A数据

port 80 :捕获端口号为80进出的数据

not port 80 :捕获除端口为80的所有数据

udp port 67 :捕获端口号67的数据(DHCP数据)

tcp port 21 :捕获端口号21的数据(FTP数据)

portrange 1-80 :捕获1到80端口的数据

tcp portrange 1-80 :捕获1-80端口的tcp数据

 

比较运算符
等于 == eq  ip.src == 192.168.0.1  显示来自192.168.0.1的所有数据
不等于 != ne  ip.src != 192.168.0.1  显示除来自192.168.0.1的所有数据
大于 > gt  frame.time_relative > 1  显示时间差超过一秒的数据
小于 < lt  tcp.windows_size < 1460  显示TCP接收窗口小于1460个字节的数据
大于等于 >= or ge  dns.count.answers >= 10  显示DNS响应包,要求该包中至少包含10个响应包
小于等于 <= or lt  ip.ttl < 10  显示TTL字段值小于10的数据
包含   contains  http contain "GET"  显示HTTP所有GET请求
匹配   matches  ftp.request.arg match "admin"  匹配含有“admin”字符串的数据

 

 参考书籍《Wireshark数据包分析实战详解》

--------------------------------一些基础技巧,入坑----------------------------------

以上是关于Wareshark学习笔记的主要内容,如果未能解决你的问题,请参考以下文章

JavaWeb学习笔记总结 目录篇

系列文章--Node.js学习笔记系列

Windows编程课程学习笔记

Windows编程课程学习笔记

2022年Spark基础学习笔记

SpringBoot学习笔记——Thymeleaf