wireshark捕獲/過濾指定ip地址資料包

標籤：源地址   eth   物理地址   1.3   ip地址   組合   wireshark   ext   環境   

轉載 轉載請註明出處:6san.com
原文地址: http://www.6san.com/630/wireshark捕獲/過濾指定ip地址資料包

使用捕獲過濾或顯示過濾，wireshark可以僅捕獲/顯示經過指定ip的資料包，即某個ip收到或發出的所有資料包。wireshark捕獲/顯示過濾使用方法見：“wireshark過濾器”

顯示過濾：wireshark過濾經過指定ip的資料包

顯示過濾可以完整的複現測試時的網路環境，但會產生較大的捕獲檔案和記憶體佔用。

ip.addr ==192.168.1.1 //顯示所有目標或源地址是192.168.1.1的資料包
ip.dst==192.168.1.1 //顯示目標地址是192.168.1.1的資料包
ip.src ==192.168.1.1 //顯示源地址是192.168.1.1的資料包

eth.addr== 80:f6:2e:ce:3f:00   //根據MAC地址過濾，詳見“wireshark過濾MAC地址/物理地址”

ip.src==192.168.0.0/16   //網路過濾，過濾一個網段

捕獲過濾：wireshark捕獲經過指定ip的資料包

捕捉過濾抓包前在capture option中設定，僅捕獲合格包，可以避免產生較大的捕獲檔案和記憶體佔用，但不能完整的複現測試時的網路環境。

host 192.168.1.1      //抓取192.168.1.1 收到和發出的所有資料包
src host 192.168.1.1    //源地址，192.168.1.1發出的所有資料包
dst host 192.168.1.1    //目標地址，192.168.1.1收到的所有資料包

src host hostname    //根據主機名稱過濾

ether  host 80:05:09:03:E4:35    //根據MAC地址過濾

net 192.168.1    //網路過濾，過濾整個網段
src net 192.168
dst net 192

使用“非/且/或”建立組合過濾條件可以獲得更精確的捕獲

非: ! or “not” (去掉雙引號)
且: && or “and”
或: || or “or”

wirershark過濾指定ip收發資料包樣本：

抓取所有目的地址是192.168.1.2 或192.168.1.3 連接埠是80 的TCP 資料

(tcp port 80) and ((dst host 192.168.1.2) or (dst host
192.168.1.3))   //捕獲過濾

tcp.port==80&&(ip.dst==192.168.1.2||ip.dst==192.168.1.3)    //顯示過濾

抓取所有目標MAC 位址是80:05:09:03:E4:35 的ICMP 資料

(icmp) and ((ether dst host 80:05:09:03:E4:35))

icmp && eth.dst==80:05:09:03:E4:35

抓取所有目的網路是192.168，但目的主機不是192.168.1.2 的TCP 資料

(tcp) and ((dst net 192.168) and (not dst host 192.168.1.2))

tcp&&ip.src==192.168.0.0/16&&!(ip.src==192.168.1.2)

捕獲主機192.168.1.1 和主機192.168.1.2 或192.168.1.3的通訊

host 192.168.1.1 and  (192.168.1.2 or 192.168.1.3 )

ip.addr==192.168.1.1&&(ip.addr==192.168.1.2||ip.addr==192.168.1.3)

擷取主機192.168.1.1除了和主機192.168.1.2之外所有主機通訊的資料包

host 192.168.1.1 and ! 192.168.1.2

ip.addr==192.168.1.1&&!ip.addr==192.168.1.2

擷取主機192.168.1.1接收或發出的telnet包，telnet使用tcp 23連接埠

tcp port 23 and host 192.168.1.1

tcp.port==23&&ip.addr==192.168.1.1

wireshark捕獲/過濾指定ip地址資料包