01.Wireshark入门

Wireshark官网下载地址：

https://www.wireshark.org/#download

 

 

 

伯克利包过滤规则，由三部分组成：

1.type表示对象，如：IP地址，子网，端口

2.dir表示数据包的方向，是从源端口到目标端口，还是从目标端口到源端口

3.proto表示与数据包匹配的协议类型，ip协议？tcp协议？arp协议？

 

例子：

1.过滤出IP地址为192.168.4.36的数据

表达式：ip.addr==192.168.4.36

 

 

 

2.过滤出源IP地址为192.168.4.36的数据

表达式：ip.src==192.168.4.36

 

 

3.过滤出目标地址为192.168.4.36的数据

表达式：ip.dst==192.168.4.36

 

 

 

4.过滤出目的地址为192.168.4.36，TCP协议端口80的数据

表达式：tcp.port==80 and ip.dst==192.168.4.36

 

※注：在192.168.1.136主机上用游览器URL访问了192.168.4.36主机产生的数据。可以看出，数据是从1.136主机的51511端口→4.36目标主机的80端口。

 

 

5.过滤出源地址为192.168.4.36，协议为TCP端口80,的数据

表达式：tcp.port==80 and ip.src==192.168.4.36

 

※注：可以看出，数据是从4.36主机的80端口→1.136目标主机的51511端口。

 

 

6.过滤出网络范围为192.168.4.0/24的数据

表达式：ip.addr==192.168.4.0/24

 

 

捕获过滤器

     在抓取数据包之前配置的过滤器，抓取符合规则的数据包，丢弃不符合规则的数据包。

例子

1.只捕获目标端口为80的TCP数据包

     表达式：tcp dst port 80

 

 

 

2.捕获目标主机IP地址为192.168.4.36的数据包，即1.136主机发送出去的数据包

     表达式：dst host 192.168.4.36

 

 

※注：在192.168.1.136主机上ping了192.168.4.36主机产生的数据。

 

 

3.捕获源主机IP地址为192.168.4.36的数据包，即响应1.136主机的数据包

表达式：src host 192.168.4.36

 

 

 

 

3.捕获主机IP地址为192.168.4.36的数据包

     表达式：src host 192.168.4.36 || dst host 192.168.4.36

 

 

 

 

筛选过滤器（或称之为显示过滤器）

     在抓取到数据包之后进行配置的过滤器。或者是对已经抓取到的流量进行再筛选，找出更加符合需要的数据包。

     表达式可以通过两种方式创建：

第一种：通过输入框创建

 

 

第二种：通过数据包细节面板创建。