首页 > 代码库 > Wireshark过滤(转)
Wireshark过滤(转)
1.过滤语法(显式过滤器):
也可以点击Analyze菜单并选择Display Filters来创建新的过滤条件。
Wireshark实际上提供了便捷的UI操作帮助我们来书写Display Filter,在Display Filter输入框的最右边有个Expression按钮,点击之后可以弹出如下界面:
Display Filter的语法本质上是个等是关系描述,我们可以在search当中输入我们感兴趣的协议比如http,再在展开的协议头里选择我们的条件比如 http.host,最后设置Relation和Value就可以生成一个Display Filter条件了。
1.协议过滤语法
语法: | Protocol | . | String 1 | . | String 2 | Comparison operator | Value | Logical Operations | Other expression |
例子: | http | request | method | == | "POST" | or | icmp.type |
string1和string2是可选的。
依据协议过滤时,可直接通过协议来进行过滤,也能依据协议的属性值进行过滤。
按协议进行过滤:
snmp || dns || icmp | 显示SNMP或DNS或ICMP封包。 |
按协议的属性值进行过滤:
ip.addr == 10.1.1.1 |
ip.src != 10.1.2.3 or ip.dst != 10.4.5.6 |
ip.src =http://www.mamicode.com/= 10.230.0.0/16 | 显示来自10.230网段的封包。 |
tcp.port == 25 | 显示来源或目的TCP端口号为25的封包。 |
tcp.dstport == 25 | 显示目的TCP端口号为25的封包。 |
http.request.method== "POST" | 显示post请求方式的http封包。 |
http.host == "tracker.1ting.com" | 显示请求的域名为tracker.1ting.com的http封包。 |
tcp.flags.syn == 0×02 | 显示包含TCP SYN标志的封包。 |
2.内容过滤语法
2.1深度字符串匹配
contains :Does the protocol, field or slice contain a value
示例
tcp contains "http" | 显示payload中包含"http"字符串的tcp封包。 |
http.request.uri contains "online" | 显示请求的uri包含"online"的http封包。 |
2.2特定偏移处值的过滤
tcp[20:3] == 47:45:54 /* 16进制形式,tcp头部一般是20字节,所以这个是对payload的前三个字节进行过滤 */
http.host[0:4] == "trac"
过滤中函数的使用(upper、lower)
upper(string-field) - converts a string field to uppercase
lower(string-field) - converts a string field to lowercase
示例
upper(http.request.uri) contains "ONLINE"
wireshark过滤支持比较运算符、逻辑运算符,内容过滤时还能使用位运算。
1.基于IP过滤
例子:
ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107
或者
ip.addr eq 192.168.1.107 // 都能显示来源IP和目标IP
2.基于端口过滤
例子:
tcp.port eq 80 // 不管端口是来源的还是目标的都显示
tcp.port == 80
tcp.port eq 2722
tcp.port eq 80 or udp.port eq 80
tcp.dstport == 80 // 只显tcp协议的目标端口80
tcp.srcport == 80 // 只显tcp协议的来源端口80
udp.port eq 15000
过滤端口范围
tcp.port >= 1 and tcp.port <= 80
3.基于网络协议过滤
例子:
tcp
udp
arp
icmp
http
smtp
ftp
dns
msnms
ip
ssl
oicq
bootp
等等
排除arp包,如!arp 或者 not arp
tcp.port eq 25 or icmp // 显示端口为25或协议为icmp的包
4.基于物理网卡的MAC过滤
太以网头过滤
eth.dst == A0:00:00:04:C5:84 // 过滤目标mac
eth.src eq A0:00:00:04:C5:84 // 过滤来源mac
eth.dst==A0:00:00:04:C5:84
eth.dst==A0-00-00-04-C5-84
eth.addr eq A0:00:00:04:C5:84 // 过滤来源MAC和目标MAC都等于A0:00:00:04:C5:84的
less than 小于 < lt
小于等于 le
等于 eq
大于 gt
大于等于 ge
不等 ne
5.基于数据包长度过滤
例子:
udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和
tcp.len >= 7 指的是ip数据包(tcp下面那块数据),不包括tcp本身
ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后
frame.len == 119 整个数据包长度,从eth开始到最后
eth —> ip or arp —> tcp or udp —> data
6.基于http模式过滤
例子:
http.request.method == GET
http.request.method == POST
http.request.uri == /img/logo-edu.gif
http contains GET
http contains HTTP/1.
// GET包
http.request.method == GET && http contains Host:
http.request.method == GET && http contains User-Agent:
// POST包
http.request.method == POST && http contains Host:
http.request.method == POST && http contains User-Agent:
// 响应包
http contains HTTP/1.1 200 OK && http contains Content-Type:
http contains HTTP/1.0 200 OK && http contains Content-Type:
一定包含如下
Content-Type:
http.content_type == "image/gif" // 显示所有http包含image/gif
http.response !=0 || http.request.method != "TRACE" //不显示 content http, only headers ^
http.response !=0 || http.request.method != "TRACE"
7.基于TCP参数过滤
tcp.flags 显示包含TCP标志的封包。
tcp.flags.syn == 0×02 显示包含TCP SYN标志的封包。
tcp.window_size == 0 && tcp.flags.reset != 1
8.基于内容过滤
tcp[20]表示从20开始,取1个字符
tcp[20:]表示从20开始,取1个字符以上
tcp[20:8]表示从20开始,取8个字符
tcp[offset,n]
udp[8:3]==81:60:03 // 偏移8个bytes,再取3个数,是否与==后面的数据相等?
udp[8:1]==32 如果我猜的没有错的话,应该是udp[offset:截取个数]=nValue
eth.addr[0:3]==00:06:5B
例子:
判断upd下面那块数据包前三个是否等于0×20 0×21 0×22
我们都知道udp固定长度为8
udp[8:3]==20:21:22
判断tcp那块数据包前三个是否等于0×20 0×21 0×22
tcp一般情况下,长度为20,但也有不是20的时候
tcp[8:3]==20:21:22
如果想得到最准确的,应该先知道tcp长度
matches(匹配)和contains(包含某字符串)语法
ip.src=http://www.mamicode.com/=192.168.1.107 and udp[8:5] matches x02x12x21x00x22
ip.src=http://www.mamicode.com/=192.168.1.107 and udp contains 02:12:21:00:22
ip.src=http://www.mamicode.com/=192.168.1.107 and tcp contains GET
udp contains 7c:7c:7d:7d 匹配payload中含有0x7c7c7d7d的UDP数据包,不一定是从第一字节匹配。
例子:
得到本地qq登陆数据包(判断条件是第一个包==0×02,第四和第五个包等于0x00x22,最后一个包等于0×03)
0×02 xx xx 0×00 0×22 … 0×03
正确
oicq and udp[8:] matches ^x02[x00-xff][x00-xff]x00x22[x00-xff]+x03$
oicq and udp[8:] matches ^x02[x00-xff]{2}x00x22[x00-xff]+x03$ // 登陆包
oicq and (udp[8:] matches ^x02[x00-xff]{2}x03$ or tcp[8:] matches ^x02[x00-xff]{2}x03$)
oicq and (udp[8:] matches ^x02[x00-xff]{2}x00x22[x00-xff]+x03$ or tcp[20:] matches ^x02[x00-xff]{2}x00x22[x00-xff]+x03$)
不单单是00:22才有QQ号码,其它的包也有,要满足下面条件(tcp也有,但没有做):
oicq and udp[8:] matches ^x02[x00-xff]+x03$ and !(udp[11:2]==00:00) and !(udp[11:2]==00:80)
oicq and udp[8:] matches ^x02[x00-xff]+x03$ and !(udp[11:2]==00:00) and !(udp[15:4]==00:00:00:00)
说明:
udp[15:4]==00:00:00:00 表示QQ号码为空
udp[11:2]==00:00 表示命令编号为00:00
udp[11:2]==00:80 表示命令编号为00:80
当命令编号为00:80时,QQ号码为00:00:00:00
得到msn登陆成功账号(判断条件是USR 7 OK ,即前三个等于USR,再通过两个0×20,就到OK,OK后面是一个字符0×20,后面就是mail了)
USR xx OK mail@hotmail.com
正确
msnms and tcp and ip.addr==192.168.1.107 and tcp[20:] matches ^USRx20[x30-x39]+x20OKx20[x00-xff]+
以上过程语法,同时支持用tcpdump抓取的数据包
注:WireShark窗口如下,我们的过滤语法,就是应用在如下的过滤器规则框内
Frame: 物理层的数据帧概况 (物理层)
Ethernet II: 数据链路层以太网帧头部信息 (数据链路层) ①
Internet Protocol Version 4: 互联网层IP包头部信息(网络层) ②
Transmission Control Protocol: 传输层T的数据段头部信息,此处是TCP (传输层)③
Hypertext Transfer Protocol: 应用层的信息,此处是HTTP协议 (应用层) ④
Wireshark过滤(转)