1. 程式人生 > >Wireshark 【OSI三層】抓包過濾規則和顯示過濾規則實例

Wireshark 【OSI三層】抓包過濾規則和顯示過濾規則實例

傳輸層 stp 多播 cde ask 混合 並且 proto ons

本文列舉wireshark 常用的OSI三層抓包和顯示過濾規則.

Wireshark Information

技術分享圖片

封包詳細信息 (Packet Details Pane)

這個面板是我們最重要的,用來查看協議中的每一個字段。

各行信息分別為

Frame: 物理層的數據幀概況

Ethernet II: 數據鏈路層以太網幀頭部信息

Internet Protocol Version 4: 互聯網層IP包頭部信息

Transmission Control Protocol: 傳輸層T的數據段頭部信息,此處是TCP

Hypertext Transfer Protocol: 應用層的信息,此處是HTTP協議

wireshark與對應的OSI七層模型

技術分享圖片

wireshark 常用快捷鍵可以查看上一篇“二層抓包過濾文章”

一、抓包過濾表達式的規則(OSI 三層)

#ip/ipv6 只抓取IPv4或IPv6的數據包
技術分享圖片

#IPV6 抓包規則
技術分享圖片

技術分享圖片
#host X.X.X.X 只抓取源於或發往所指定的主機名或IP地址的流量(比如:host 192.168.1.1)

host 172.18.202.248

備註:對於同一個目標抓取報文,既可以抓取二層抓取規則,也可以采用三層抓取規則,其結果是一樣的;
技術分享圖片

技術分享圖片
#dst host X.X.X.X 只抓取發往所指定的主機名或IP地址的流量

dst host 172.18.202.248 = dst 172.18.202.248

技術分享圖片

技術分享圖片

技術分享圖片

#src host X.X.X.X 只抓取源於所指定的主機名或IP地址的流量

src host 172.18.202.248

技術分享圖片

技術分享圖片
#gateway X.X.X.X 只抓穿過host的流量

#net X.X.X.X 只抓取源於或發往標識符的IPv4huoIPv6網絡號的流量(比如:net 192.168.1.0/24 或net 192.168.1.0 mask 255.255.255.0 )

net 172.18.202.0/24

技術分享圖片
net X.X.X.X = 【dst net X.X.X.X + src net X.X.X.X】
技術分享圖片
#dst net X.X.X.X 只抓取發往標識符的IPv4huoIPv6網絡號的流量

dst net 172.22.202.0/24

技術分享圖片

技術分享圖片

#src net X.X.X.X 只抓取源於標識符的IPv4huoIPv6網絡號的流量

src net 172.18.18.0/24

技術分享圖片

技術分享圖片

broadcast 只抓取IP廣播包

ip broadcast

技術分享圖片

技術分享圖片

multicast 只抓取IP多播包

ip6 multicast

技術分享圖片

技術分享圖片

ip multicast

技術分享圖片

技術分享圖片

@混合表達式過濾規則

ip host 172.18.202.248 and icmp

技術分享圖片

技術分享圖片

src host 172.18.202.248 or arp

技術分享圖片

技術分享圖片

src host 172.18.202.248 or (arp and !broadcast )

技術分享圖片

技術分享圖片

src host 172.18.202.248 or ( (arp and !broadcast ) and ! tcp)

技術分享圖片

技術分享圖片

src host 172.18.202.248 and ( (arp and !broadcast ) and ! tcp)

技術分享圖片

net 172.18.202.0/24 and (arp and !broadcast ) or ! tcp

技術分享圖片

技術分享圖片

net 172.18.200.0/21 and ether src 8C-EC-4B-69-A6-A7 and arp

技術分享圖片

技術分享圖片

二、顯示過濾表達式的規則(OSI 三層)

混合表達式示例

ip.addr == 172.18.202.248 and not tcp.port in {80 25 1433}

--過濾顯示ip等於172.18.202.248 並且 tcp端口不是80、25、1433的報文;

技術分享圖片

#ip proto XX 只抓取IP報頭的協議類型字段值等於特定值的數據包

ip.proto

技術分享圖片

ip.proto and tcp or http

技術分享圖片

tcp.dstport == 80

技術分享圖片

#ip6 proto xx 只抓取IPv6報頭的協議類型字段值等於特定值的數據包

ICMP

技術分享圖片

#TCP or udp
技術分享圖片

ip.proto == 6

技術分享圖片

ip.proto == 2

技術分享圖片

常見的DNS顯示過濾器

讓Wireshark只顯示DNS查詢和DNS響應數據包

dns.flags.response== 0 (DNS 查詢)

dns.flags.response== 1(DNS 響應)

技術分享圖片

技術分享圖片

dns

技術分享圖片

ip.proto == 25

技術分享圖片

=========
常見的協議類型字段值
1 ICMP
2 IGMP
6 TCP
17 UDP
47 GRE
88 EIGRP
89 OSPF
112 VRRP

好了,今天就列舉這麽多,希望能對閱讀者有所幫助。學以致用,多實踐多總結。

Wireshark 【OSI三層】抓包過濾規則和顯示過濾規則實例