2024年6月11日发(作者：)

竭诚为您提供优质文档/双击可除

wireshark,过滤协议

篇一：wireshark实用过滤表达式(针对ip、协议、端

口、长度和内容)

wireshark实用过滤表达式（针对ip、协议、端口、长

度和内容）

分类：网络20xx-08-0120:423867人阅读评论(0)收藏

举报

首先说几个最常用的关键字，“eq”和“==”等同，可

以使用“and”表示并且，“or”表示或者。“!"和"not”都

表示取反。

一、针对wireshark最常用的自然是针对ip地址的过

滤。其中有几种情况：

（1）对源地址为192.168.0.1的包的过滤，即抓取源

地址满足要求的包。

表达式为：==192.168.0.1

（2）对目的地址为192.168.0.1的包的过滤，即抓取

1 11

目的地址满足要求的包。

表达式为：==192.168.0.1

（3）对源或者目的地址为192.168.0.1的包的过滤，

即抓取满足源或者目的地址的ip地址是192.168.0.1的包。

表达式为：==192.168.0.1,或者

====192.168.0.1

（4）要排除以上的数据包，我们只需要将其用括号囊

括，然后使用"!"即可。

表达式为：!(表达式)

二、针对协议的过滤

（1）仅仅需要捕获某种协议的数据包，表达式很简单

仅仅需要把协议的名字输入即可。表达式为：http

（2）需要捕获多种协议的数据包，也只需对协议进行

逻辑组合即可。

表达式为：httportelnet（多种协议加上逻辑符号的组

合即可）

（3）排除某种协议的数据包

表达式为：notarp!tcp

三、针对端口的过滤（视协议而定）

（1）捕获某一端口的数据包

表达式为：==80

（2）捕获多端口的数据包，可以使用and来连接，下

2 11

面是捕获高端口的表达式

表达式为：>=2048

四、针对长度和内容的过滤

（1）针对长度的过虑（这里的长度指定的是数据段的

长度）

表达式为： （2）针对数据包内容的过

滤

表达式为：ches"vipscu"（匹配

http请求中含有vipscu字段的请求信息）

通过以上的最基本的功能的学习，如果随意发挥，可以

灵活应用，就基本上算是入门了。以下是比较复杂的实例（来

自wireshark图解教程）：

tcpdstport3128

显示目的tcp端口为3128的封包。

ipsrchost10.1.1.1

显示来源ip地址为10.1.1.1的封包。

host10.1.2.3

显示目的或来源ip地址为10.1.2.3的封包。

srcportrange2000-2500

显示来源为udp或tcp，并且端口号在2000至2500范

围内的封包。

notimcp

3 11

显示除了icmp以外的所有封包。（icmp通常被ping工

具使用）

srchost10.7(wireshark,过滤协

议).2.12andnotdstnet10.200.0.0/16

显示来源ip地址为10.7.2.12，但目的地不是

10.200.0.0/16的封包。

(srchost10.4.1.12orsrcnet10.6.0.0/16)andtcpdstportr

ange200-10000anddstnet10.0.0.0/8

显示来源ip为10.4.1.12或者来源网络为10.6.0.0/16，

目的地tcp端口号在200至10000之间，并且目的位于网络

10.0.0.0/8内的所有封包。

篇二：【实用技巧】wireshark过滤抓包与过滤查看

在分析网络数据和判断网络故障问题中，都离不开网络

协议分析软件（或叫网络嗅探器、抓包软件等等）这个“利

器”，通过网络协议分析软件我们可以捕获网络中正常传输

哪些数据包，通过分析这些数据包，我们就可以准确地判断

网络故障环节出在哪。网络协议分析软件众多，比如

ethereal（wireshark的前

身),wireshark,omnipeek,sniffer,科来网络分析仪（被誉

为国产版sniffer，符合我们的使用习惯）等等，本人水平

有限，都是初步玩玩而已，先谈谈个人对这几款软件使用感

4 11

受，wireshark（ethereal）在对数据包的解码上，可以说

是相当的专业，能够深入到协议的细节上，用它们来对数据

包深入分析相当不错，更重要的是它们还是免费得，但是用

wireshark（ethereal）来分析大量数据包并在大量数据包

中快速判断问题所在，比较费时间，不能直观的反应出来，

而且操作较为复杂。像

omnipeek,sniffer,科来网络分析仪这些软件是专业级

网络分析软件，不仅仅能解码（不过有些解码还是没有

wireshark专业），还能直观形象的反应出数据情况，这些软

件会对数据包进行统计，并生成各种各样的报表日志，便于

我们查看和分析，能直观的看到问题所在，但这类软件是收

费，如果想感受这类专业级的软件，我推荐玩科来网络分析

仪技术交流版，免费注册激活，但是只能对50个点进行分

析。废话不多说，下面介绍几个wireshark使用小技巧，说

的不好，还请各位多指点批评。

目前wireshark最新版本是1.7的，先简单对比下

wireshark的1.6和1.7版本。下面是wireshark的1.6版

本的界面图：（看不清图，请点击放大）

点击图中那个按钮，进入抓包网卡选择，然后点击

option进入抓包条件设置，就会打开如下图的对话框

如果想抓无线网卡的数据吧，就把图中那个勾去掉，不

然会报错。点击captureFilter进入过滤抓包设置（也可以

5 11

在这个按钮旁边，那个白色框直接写过滤语法，语法不完成

或无法错误，会变成粉红色的框，正确完整的会变成浅绿色），

Filtername是过滤条件命名，Filterstring是过滤的语法

定义，设置好了，点击new会把你设置好的加入到过滤条件

区域，下次要用的时候，直接选者你定义这个过滤条件名。

下面是wireshark的1.7版本的界面图：

界面有所变化，同样是点击option进入过滤编辑，如

下图：

如果，左边的双击左边网卡可以直接进入过滤抓包设置

对话框，中间是点击option后进入的对话框，再双击网卡

进入下面的过滤抓包设置对话框，后面就跟wireshark的1.6

版本一样了。

下面聊聊过滤抓包语法，Filterstring中怎么写语法。

大家可以看看captureFilter原来已有的怎么定义的。

要弄清楚并设置好这个过滤条件的设置，得弄清楚

tcp/ip模型中每层协议原理，以及数据包结构中每个比特的

意思。上面这是抓得aRp，在数据链路层来看的，aRp是上

层协议，在ethernet包结构表示的协议类型代码是0x0806，

如果站在网络层来说（aRp协议有时又称为2.5层的协议，

靠近数据链路层），我们的过滤语法可以这样写：

这两个是等价的，抓得都是aRp包。或许有的朋友这里

不太明白，建议去看《tcp/ip协议族》《tcp/ip协议详卷》

6 11