Wireshark抓包教程

章工运维

发布于 2024-04-27 13:15:03

660

发布于 2024-04-27 13:15:03

# 1. HTTP抓包例子

案例：本地向 http://192.168.40.134:31204/some-api，如何过滤？

http and ip.addr == 192.168.40.134 and tcp.port == 31204

语句分析：

http 表示我只需要http的包
ip.addr 表示只要源ip或者目标ip地址中包含192.168.40.134
tcp.port 表示只要源端口或者目标端口中包含31204

# 2. 为什么我写的表达式总是不对呢？?

很多时候，你写的表达式背景色变成红色，说明表达式错误了，例如下图：http and ip.port == 31204

写出ip.port这个语句，往往是对传输协议理解不清晰。?

ip是网络层的协议，port是传输层tcp或者udp中使用的。例如你写tcp.port == 80，udp.port ==3000这样是没问题的。但是port不能跟在ip的后面，如果你不清楚怎么写，你可以选择wireshark的智能提示。

智能提示会提示所有可用的表达式。

# 3. 常用过滤表达式

一般我们的过滤都是基于协议，ip地址或者端口号进行过滤的，

# 3.1. 基于协议的过滤

直接输入协议名进行过滤

# 3.2. 基于IP地址的过滤

# 3.3. 基于端口的过滤

基于端口的过滤一般就两种

tcp.port == xxx
udp.port == xxx

# 3.4. 基于host的过滤

# 4. 比较运算符支持

== 等于
!= 不等于
> 大于
< 小于
>= 大于等于
<= 小于等于

ip.addr == 192.168.2.4

# 5. 逻辑运算符

and 条件与
or 条件或
xor 仅能有一个条件为真
not 所有条件都不能为真

ip.addr == 192.168.2.4 and tcp.port == 2145 and !tcp.port == 3389

# 6. 只关心某些特殊的tcp包

tcp.flags.fin==1  只过滤关闭连接的包
tcp.flags.syn==1    只过滤建立连接的包
tcp.flags.reset==1 只过滤出tcp连接重置的包

# 7. 统计模块

# 7.1. 查看有哪些IP

Statistics -> endpoints

# 7.2. 查看那些IP之间发生会话# (opens new window)

Statistics -> Conversations

# 7.3. 按照协议划分

# 8. 最后

在会使用上述四个过滤方式之后，就可以自由的扩展了

?????? ???♀????♀????♀????♀????♀????♀? ????????????

http.request.method == GET # 基于http请求方式的过滤
ip.src == 192.168.1.4

原文链接 (opens new window)

本文参与?腾讯云自媒体分享计划，分享自作者个人站点/博客。

原始发表：2024-04-26，如有侵权请联系 cloudcommunity@tencent.com 删除

tcp

本文分享自作者个人站点/博客?前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与?腾讯云自媒体分享计划? ，欢迎热爱写作的你一起参与！

登录后参与评论

0 条评论

热度