2024年6月11日发(作者：)
wireshark基本用法及过虑规则
1.过滤IP，如来源IP或者目标IP等于某个IP
例:
eq 10.0.21.49 or eq 192.168.81.67
或者
eq 10.0.21.49 // 都能显示来源IP和目标IP
2.过滤端口
例:
eq 3306 // 不管端口是来源的还是目标的都显示
== 3306
eq 80 or eq 80
t == 80 // 只显tcp协议的目标端口80
t == 80 // 只显tcp协议的来源端口80
eq 15000
过滤端口范围
>= 1 and <= 80
3.过滤协议
例:
tcp
udp
arp
icmp
http
smtp
ftp
dns
msnms
ip
ssl
oicq
bootp
排除arp包
!arp 或者 not arp //排除arp
4.过滤MAC
== A0:00:00:04:C5:84 // 过滤目标mac
eq A0:00:00:04:C5:84 // 过滤来源mac
==A0:00:00:04:C5:84
==A0-00-00-04-C5-84
eq A0:00:00:04:C5:84 // 过滤来源MAC和目标MAC都等于A0:00:00:04:C5:84的
less than 小于 < lt
小于等于 le
等于 eq
大于 gt
大于等于 ge
不等 ne
5.包长度过滤
例:
== 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之
和
>= 7 指的是ip数据包(tcp下面那块数据),不包括tcp本身
== 94 除了以太网头固定长度14,其它都算是,即从ip本身到最后
== 119 整个数据包长度,从eth开始到最后
eth —> ip or arp —> tcp or udp —> data
模式过滤
例:
== "GET”
== "POST”
== "/img/”
http contains "GET”
http contains "HTTP/1.”
// GET包
== "GET” && http contains "Host: "
== "GET” && http contains "User-Agent: "
// POST包
== "POST” && http contains "Host: "
== "POST” && http contains "User-Agent: "
// 响应包
http contains "HTTP/1.1 200 OK” && http contains "Content-Type: "
http contains "HTTP/1.0 200 OK” && http contains "Content-Type: "
一定包含如下
Content-Type:
参数过滤
显示包含TCP标志的封包。
== 0x02 显示包含TCP SYN标志的封包。
_size == 0 && != 1
8.包内容过滤
tcp[20]表示从20开始，取1个字符
tcp[20:]表示从20开始，取1个字符以上
注： 些两虚线中的内容在我的wireshark（linux）上测试未通过。
--------------------------------------------------
tcp[20:8]表示从20开始，取8个字符
tcp[offset,n]
udp[8:3]==81:60:03 // 偏移8个bytes,再取3个数，是否与==后面的数据相等？
udp[8:1]==32 如果我猜的没有错的话，应该是udp[offset:截取个数]=nValue
[0:3]==00:06:5B
例:
判断upd下面那块数据包前三个是否等于0x20 0x21 0x22
我们都知道udp固定长度为8
udp[8:3]==20:21:22
判断tcp那块数据包前三个是否等于0x20 0x21 0x22
tcp一般情况下，长度为20,但也有不是20的时候
tcp[8:3]==20:21:22
如果想得到最准确的，应该先知道tcp长度
matches(匹配)和contains(包含某字符串)语法
==192.168.1.107 and udp[8:5] matches "x02x12x21x00x22″ -----
-???--------
==192.168.1.107 and udp contains 02:12:21:00:22
==192.168.1.107 and tcp contains "GET”
udp contains 7c:7c:7d:7d 匹配payload中含有0x7c7c7d7d的UDP数据包，不一
定是从第一字节匹配。
模式过滤
注意：DHCP协议的检索规则不是dhcp/DHCP， 而是bootp
以寻找伪造DHCP服务器为例，介绍Wireshark的用法。在显示过滤器中加入过滤
规则，
显示所有非来自DHCP服务器并且==0x02（Offer/Ack/NAK）的信息：
==0x02 and not ==192.168.1.1
msnms && tcp[23:1] == 20 // 第四个是0x20的msn数据包
msnms && tcp[20:1] >= 41 && tcp[20:1] <= 5A && tcp[21:1] >= 41 && tcp[21:1] <= 5A &&
tcp[22:1] >= 41 && tcp[22:1] <= 5A
msnms && tcp[20:3]==”USR” // 找到命令编码是USR的数据包
msnms && tcp[20:3]==”MSG” // 找到命令编码是MSG的数据包
== 1863 || == 80
发布评论