0
点赞
收藏
分享

微信扫一扫

Wireshark 基础使用-过滤并查看抓包数据

Wireshark 基础使用-使用显示过滤器查看数据

在上一篇博客 中介绍了 wireshark 的基本原理与使用以及捕获过滤器的使用。本篇博客主要介绍 Wireshark 显示过滤器的使用,以及使用 wireshark 查看网络的四层分析模型。

显示过滤器的基本使用

启动抓包后(若首次使用 wireshark,可以参考博客:启动抓包),进入到抓包页面后,点击下图中的标签(或者通过菜单:分析->disaply filters),即可打开常用的显示过滤表达式:

在这里插入图片描述

打开的常用的显示过滤表达式:

在这里插入图片描述

**注:**上图中每条显示过滤表达式,都有其对应的解释(filter expression).

显示过滤表达式的语法

与上篇介绍的捕获过滤表达式类似。显示过滤表达式也可看作原语的组合。不同的是,显示过滤表达式的原语由“选项+选项关系+选项值“组成。如 tcp.port == 80 中,其中 tcp.port 是“选项”,“=="是选项关系,”80“是选项值,整个表达式表示的是,仅显示 tcp 端口号(包括发送、接受)为 80 的数据包(再次提醒,显示过滤表达式和捕获过滤表达式不能混淆,捕获过滤表达式的形式为:tcp port 80)。表达式中三个部分分别介绍如下:

  • 选项。选项可以是协议(如tcp、udp、http等)、帧(frame)等对象。(这个在使用中参考已经有的示例或者直接输入协议名字,看也没有提示就可以了)

  • 选项关系。用于定义选项与选项值的关系。常见的选项关系如下:

    [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ttb5eMcD-1646562556343)(asserts/option_relations.png)]

    (图表来自 wireshark 官方示例)

  • 选项值。选项值可以是数字(如十进制数字: 1500,十六进制数字:0x5dc,二进制数字:0b10111011100)、布尔值(如1 代表 “true”, 0 等同 “false”)、mac地址类的数字(如eth.dst == ff:ff:ff:ff:ff:ff)、ip 地址(如 ip.addr == 192.168.0.1)、字符串(如 http.request.uri == “https://www.wireshark.org/”)、时间(如 ntp.xmt ge “2020-07-04 12:34:56”)等。

多个表达式也可以通过逻辑连接符连接起来,组合出高级的显示过滤表达式:

在这里插入图片描述

(图表来自 wireshark 官方示例)

其中,[…]表示“子串”选择符,如 eth.src[0:3] == 00:00:83 表示从偏移地址 0 开始的 3 个字节的数据为 00:00:83 的数据包。

其中,in 表示成员选择符,常用于组成选项值得的集合。如 tcp.port in {80, 441, 8081} 指的是过滤 tcp 端口为 80、441、8081的数据包。其等同于 tcp.port == 80 || tcp.port == 441 || tcp.port == 8081。

**注意: **更多显示过滤器的使用可以参考说明 disaply filters-wiki 以及 disaply_filters_gitlab.

除了手动在输入框内输入显示过滤表达式外,还可以选中抓包数据的某个选项,右键选择“作为过滤器应用(Apply as Filter)“:

在这里插入图片描述

查看捕获的数据包的内容

在这里插入图片描述

如图,抓包的界面主要包含三个重要的窗口:

  • 数据包概要信息窗口:描述每个数据包的基本信息。如图,点击某行数据,即可在下方显示该数据包的信息。

  • 数据包解析窗口:显示被选中的数据包的解析信息,包含每个数据包的整体信息、数据链路层、网络层、传输层、应用层的信息,可以点击每层信息的左侧的三角形的下拉选项,打开每层信息的详细解析。

  • 数据包数据窗口:显示该数据包的具体数据内容,最左侧的“0000、0010…"为该行数据在整个数据包中的整体偏移量,所有数据以 16 进制显示。
    每层信息的左侧的三角形的下拉选项,打开每层信息的详细解析。

  • 数据包数据窗口:显示该数据包的具体数据内容,最左侧的“0000、0010…"为该行数据在整个数据包中的整体偏移量,所有数据以 16 进制显示。
    下一篇:使用 wireshark 分析网络通信-ping 通信过程.

    (码字不易,谢谢点赞或收藏)

举报

相关推荐

0 条评论