wireshark过滤规则

一、过滤规则

1、IP过滤

1）ip.src == 192.168.9.23

2）ip.dst == 192.168.9.23

2、域名过滤

http.host == baidu.com

3、端口过滤

tcp.port == 8080

4、协议过滤

tcp、udp、arp、icmp、http、smtp、ftp、dns、msnms、ip、ssl、oicq、bootp等

5、MAC过滤

1）eth.dst == A0:00:00:04:C5:84

2）eth.src == A0:00:00:04:C5:84

6、包长度过滤

tcp.len > 8

7、http模式过滤

例子:
http.request.method == “GET”
http.request.method == “POST”
http.request.uri == “/img/logo-edu.gif”
http contains “GET”
http contains “HTTP/1.”
// GET包
http.request.method == “GET” && http contains “Host: “
http.request.method == “GET” && http contains “User-Agent: “
// POST包
http.request.method == “POST” && http contains “Host: “
http.request.method == “POST” && http contains “User-Agent: “
// 响应包
http contains “HTTP/1.1 200 OK” && http contains “Content-Type: “
http contains “HTTP/1.0 200 OK” && http contains “Content-Type: “

8、TCP参数过滤

tcp.flags 显示包含TCP标志的封包。
tcp.flags.syn == 0x02     显示包含TCP SYN标志的封包。
tcp.window_size == 0 && tcp.flags.reset != 1

9、包内容过滤

tcp.flags.ack==1等

二、字符串匹配规则

1、wireshark基本的语法字符
\d          0-9的数字
\D          \d的补集（以所以字符为全集，下同），即所有非数字的字符
\w          单词字符，指大小写字母、0-9的数字、下划线
\W          \w的补集
\s          空白字符，包括换行符\n、回车符\r、制表符\t、垂直制表符\v、换页符\f
\S          \s的补集
.          除换行符\n外的任意字符。 在Perl中，“.”可以匹配新行符的模式被称作“单行模式”
.*       匹配任意文本，不包括回车(\n)? 。 而，[0x00-0xff]*        匹配任意文本,包括\n
[…]          匹配[]内所列出的所有字符
[^…]          匹配非[]内所列出的字符

2、定位字符  所代表的是一个虚的字符，它代表一个位置，你也可以直观地认为“定位字符”所代表的是某个字符与字符间的那个微小间隙。
^          表示其后的字符必须位于字符串的开始处
$          表示其前面的字符必须位于字符串的结束处
\b          匹配一个单词的边界
\B          匹配一个非单词的边界

3、重复描述字符
{n}          匹配前面的字符n次
{n,}          匹配前面的字符n次或多于n次
{n,m}          匹配前面的字符n到m次
?          匹配前面的字符0或1次
+          匹配前面的字符1次或多于1次
*          匹配前面的字符0次或式于0次

4、and or 匹配
and 符号 并
or  符号 或
例如：
tcp and tcp.port==80
tcp or udp