wireshark 抓包过滤器使用
wireshark 抓包过滤器 过滤器分为抓包过滤器和显示过滤器,抓包过滤器会将不满足过滤条件的包丢弃,只保留满足条件的包,而显示过滤器则是对已抓取的包做过滤,过滤出满足条件的包。 显示过滤器可以保留全部的报数据,方便后期做流量分析,而抓包过滤器保留的数据有限,后期分析有局限性。 一、抓包过滤器 wireshark抓包是基于其内部的libpcap/wincap库 打开软件时直接在filter栏输入过滤规则即可,如下以wireshark2.6举例 Capture --> Options 使用的是BFP语法(Berkeley Packet Filter),一共四个元素: 类型(Type) host、net、port 方向(Dir) src、dst 协议(Proto) ether、ip、tcp、udp、http、ftp 逻辑运算符 && 与 || 或 ! 非 示例: 抓取源地址为192.168.1.1,目的端口为80的流量 src host 192.168.1.1 && dst port 80 抓取192.168.1.1和192.168.1.2的流量 host 192.168.1.1 || host 192.168.1.2 不要抓取广播包 ! broadcast 过滤mac地址: ether host 00:88:ca:86:f8:0d ether src host 00:88:ca