wireshark筛选语句详解

来源 https://mp.weixin.qq.com/s/RzZiVQs9dBW6LUAAwTcNUg

工具介绍

wireshark是一款最常用到的抓包工具，抓包分析方法在进行复杂网络排障过程中非常实用

默认情况wireshark会抓取并显示所有的包，真正需要的包可能一闪而过，这时候便需要通过筛选公式来匹配所需分析的数据包

筛选本质上是一种判断，如

if a > 3

容易发现要进行一个判断，必须的三个因素是变量、比较符号、值

本文从这三个维度介绍常用一些内容，可按照实际需求将这三部分互相组合形成筛选条件

变量

• IP地址相关

• MAC地址相关

MAC地址支持三种格式

ff:ff:ff:ff:ff:ff

ff-ff-ff-ff-ff-ff

ffff.ffff.ffff

• 端口相关

• 协议相关

协议只需要直接输入协议名回车筛选

比较符号

值

关于掩码计算可参考

一文搞懂掩码如何划分IP地址

掩码与反掩码地址计算器.v1.1

通常单一的筛选条件并不足以让我们找到所需的数据包，而是需要多个条件一同把对应包筛选出来。将多个条件连接在一块便需要逻辑运算符

逻辑运算符

如果需要使用三个及以上的逻辑运算符，务必看文末特殊情况部分的内容

示例

以下为常用的判断语句，帮助理解上述内容

特殊场景

• 排除源或目的IP为192.168.1.1

使用ip.addr != 192.168.1.1是否可以实现？

答案是否定的。在wireshark中，**!=代表只要变量不等于值，即判断成功**

而ip.addr包含ip.src、ip.dst两项

假设源为192.168.1.1，目的为8.8.8.8，使用上述公式，显然目的不为8.8.8.8，wireshark会将其判断为属于ip.addr != 192.168.1.1

正确的语句应该是

!(ip.addr == 192.168.1.1)

像端口、MAC地址的筛选也是一样

• 三个及以上逻辑运算符的使用

正常来说逻辑运算符的执行顺序为否>与>或>异或，可通过()来调整，括号中的会以最高优先级执行

而wireshark中不一定能按正常执行顺序执行，使用三个及以上运算符时建议按照需求用括号调整优先级，不要依赖默认顺序

例，筛选出以下内容：

1. 目的IP为8.8.8.8并且目的端口为UDP 53
2. 目的IP为8.8.8.7

建议的表达式为：

(ip.dst == 8.8.8.8 && udp.dstport == 53) || ip.dst == 8.8.8.7

而不是：

ip.dst == 8.8.8.8 && udp.dstport == 53 || ip.dst == 8.8.8.7

=========== End