Wireshark图解教程（简介、抓包、过滤器）

gron 发表于 2011-12-20 09:47

<DIV id=sina_keyword_ad_area2 class="articalContent">
<P> <WBR> <WBR> <WBR> Wireshark是世界上最流行的网络分析工具。这个强大的工具可以捕捉网络中的数据，并为用户提供关于网络和上层协议的各种信息。与很多其他网络工具一样，Wireshark也使用pcap network library来进行封包捕捉。<FONT color=#990000>可破解局域网内QQ、邮箱、msn、账号等的密码</FONT>！！ <WBR><BR> <WBR> <WBR> <WBR> wireshark的原名是Ethereal，新名字是2006年起用的。当时Ethereal的主要开发者决定离开他原来供职的公司，并继续开发这个软件。但由于Ethereal这个名称的使用权已经被原来那个公司注册，Wireshark这个新名字也就应运而生了。</P>
<P>在成功<A href="http://openmaniak.com/cn/wireshark_conf.php"><FONT color=#006b77>运行Wireshark</FONT></A>之后，我们就可以进入下一步，更进一步了解这个强大的工具。<BR><BR>下面是一张地址为192.168.1.2的计算机正在访问“openmaniak.com”网站时的截图。<BR><BR></P>
<TABLE>
<TBODY>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><A href="http://openmaniak.com/wireshark/wireshark_front.png" target=_BLANK><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark frontend" src="http://openmaniak.com/wireshark/wireshark_front_small.png"></A></TD></TR></TBODY></TABLE>
<HR align=center width=550>

<P> <WBR></P>
<TABLE>
<TBODY>
<TR>
<TD>1. <A href="http://openmaniak.com/cn/wireshark_use.php#menus"><FONT color=#006b77>MENUS（菜单）</FONT></A><BR>2. <A href="http://openmaniak.com/cn/wireshark_use.php#shortcuts"><FONT color=#006b77>SHORTCUTS（快捷方式）</FONT></A><BR>3. <A href="http://openmaniak.com/cn/wireshark_use.php#display-filter"><FONT color=#006b77>DISPLAY FILTER（显示过滤器）</FONT></A><BR>4. <A href="http://openmaniak.com/cn/wireshark_use.php#packet-list"><FONT color=#006b77>PACKET LIST PANE（封包列表)</FONT></A><BR></TD>
<TD>5. <A href="http://openmaniak.com/cn/wireshark_use.php#packet-details"><FONT color=#006b77>PACKET DETAILS PANE（封包详细信息）</FONT></A><BR>6. <A href="http://openmaniak.com/cn/wireshark_use.php#dissector"><FONT color=#006b77>DISSECTOR PANE（16进制数据）</FONT></A><BR>7. <A href="http://openmaniak.com/cn/wireshark_use.php#miscellanous"><FONT color=#006b77>MISCELLANOUS（杂项）</FONT></A><BR> <WBR></TD></TR></TBODY></TABLE>
<HR align=center width=550>

<P><BR>1. <A name=menus><U><FONT color=#006b77>MENUS（菜单）<BR><BR></FONT></U></A></P>
<TABLE>
<TBODY>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><U><FONT color=#006b77><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark menus" src="http://openmaniak.com/wireshark/wireshark_use_menus.png" real_src="http://openmaniak.com/wireshark/wireshark_use_menus.png"></FONT></U></TD></TR></TBODY></TABLE>程序上方的8个菜单项用于对Wireshark进行配置：<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD>- "File"（文件）<BR>- "Edit" （编辑）<BR>- "View"（查看）<BR>- "Go" （转到）<BR>- "Capture"（捕获）<BR>- "Analyze"（分析）<BR>- "Statistics" （统计）<BR>- "Help" （帮助）</TD>
<TD>打开或保存捕获的信息。<BR>查找或标记封包。进行全局设置。<BR>设置Wireshark的视图。<BR>跳转到捕获的数据。<BR>设置捕捉过滤器并开始捕捉。<BR>设置分析选项。<BR>查看Wireshark的统计信息。<BR>查看本地或者在线支持。</TD></TR></TBODY></TABLE><BR>2. <A name=shortcuts><U><FONT color=#006b77>SHORTCUTS（快捷方式）<BR><BR></FONT></U></A>
<TABLE>
<TBODY>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><A href="http://openmaniak.com/wireshark/wireshark_use_shortcuts.png" target=_BLANK><FONT color=#006b77><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark shortcuts" src="http://openmaniak.com/wireshark/wireshark_use_shortcuts_small.png" real_src="http://openmaniak.com/wireshark/wireshark_use_shortcuts_small.png"></FONT></A></TD></TR></TBODY></TABLE>在菜单下面，是一些常用的快捷按钮。<BR>您可以将鼠标指针移动到某个图标上以获得其功能说明。<BR>
<P><BR>3. <A name=display-filter><U><FONT color=#006b77>DISPLAY FILTER（显示过滤器）<BR><BR></FONT></U></A></P>
<TABLE>
<TBODY>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><A href="http://openmaniak.com/wireshark/wireshark_use_display_filter.png" target=_BLANK><FONT color=#006b77><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark display filter" src="http://openmaniak.com/wireshark/wireshark_use_display_filter_small.png" real_src="http://openmaniak.com/wireshark/wireshark_use_display_filter_small.png"></FONT></A></TD></TR></TBODY></TABLE>显示过滤器用于查找捕捉记录中的内容。<BR>请不要将捕捉过滤器和显示过滤器的概念相混淆。请参考<A href="http://openmaniak.com/cn/wireshark_filters.php"><FONT color=#006b77>Wireshark过滤器</FONT></A>中的详细内容。<BR><BR><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt=Wireshark图解教程（简介、抓包、过滤器） src="http://openmaniak.com/image/up.gif" real_src="http://openmaniak.com/image/up.gif"> <A href="http://openmaniak.com/cn/wireshark_use.php"><FONT color=#006b77>返回页面顶部</FONT></A><BR><BR><FONT color=#006b77>
<HR align=center width=450>
</FONT>
<P><BR>4. <A name=packet-list><U><FONT color=#006b77>PACKET LIST PANE（封包列表）<BR><BR></FONT></U></A></P>
<TABLE>
<TBODY>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><A href="http://openmaniak.com/wireshark/wireshark_packet-list-pane.png" target=_BLANK><FONT color=#006b77><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark packet filter pane" src="http://openmaniak.com/wireshark/wireshark_packet-list-pane_small.png" real_src="http://openmaniak.com/wireshark/wireshark_packet-list-pane_small.png"></FONT></A></TD></TR></TBODY></TABLE>
<TABLE>
<TBODY>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><A href="http://openmaniak.com/wireshark/wireshark_packet-list-pane2.png" target=_BLANK><FONT color=#006b77><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark packet filter pane" src="http://openmaniak.com/wireshark/wireshark_packet-list-pane2_small.png" real_src="http://openmaniak.com/wireshark/wireshark_packet-list-pane2_small.png"></FONT></A></TD></TR></TBODY></TABLE>封包列表中显示所有已经捕获的封包。在这里您可以看到发送或接收方的MAC/IP地址，TCP/UDP端口号，协议或者封包的内容。<BR><BR>如果捕获的是一个OSI layer 2的封包，您在Source（来源）和Destination（目的地）列中看到的将是MAC地址，当然，此时Port（端口）列将会为空。<BR>如果捕获的是一个OSI layer 3或者更高层的封包，您在Source（来源）和Destination（目的地）列中看到的将是IP地址。Port（端口）列仅会在这个封包属于第4或者更高层时才会显示。<BR><BR>您可以在这里添加/删除列或者改变各列的颜色：<BR>Edit menu -> Preferences<BR><BR>5. <A name=packet-details><U><FONT color=#006b77>PACKET DETAILS PANE（封包详细信息）<BR><BR></FONT></U></A>
<TABLE>
<TBODY>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><A href="http://openmaniak.com/wireshark/wireshark_packet_details.png" target=_BLANK><FONT color=#006b77><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark packet filter pane" src="http://openmaniak.com/wireshark/wireshark_packet_details_small.png" real_src="http://openmaniak.com/wireshark/wireshark_packet_details_small.png"></FONT></A></TD></TR></TBODY></TABLE>这里显示的是在封包列表中被选中项目的详细信息。<BR>信息按照不同的OSI layer进行了分组，您可以展开每个项目查看。下面截图中展开的是HTTP信息。<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><A href="http://openmaniak.com/wireshark/wireshark_packet_details2.png" target=_BLANK><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark packet details pane" src="http://openmaniak.com/wireshark/wireshark_packet_details2_small.png" real_src="http://openmaniak.com/wireshark/wireshark_packet_details2_small.png"></A></TD></TR></TBODY></TABLE><BR>6. <A name=dissector><U><FONT color=#006b77>DISSECTOR PANE（16进制数据）<BR><BR></FONT></U></A>
<TABLE>
<TBODY>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><A href="http://openmaniak.com/wireshark/wireshark_dissector_pane.png" target=_BLANK><FONT color=#006b77><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark packet dissector pane" src="http://openmaniak.com/wireshark/wireshark_dissector_pane_small.png" real_src="http://openmaniak.com/wireshark/wireshark_dissector_pane_small.png"></FONT></A></TD></TR></TBODY></TABLE>“解析器”在Wireshark中也被叫做“16进制数据查看面板”。这里显示的内容与“封包详细信息”中相同，只是改为以16进制的格式表述。<BR>在上面的例子里，我们在“封包详细信息”中选择查看TCP端口（80），其对应的16进制数据将自动显示在下面的面板中（0050）。<BR>
<P><BR>7. <A name=miscellanous><U><FONT color=#006b77>MISCELLANOUS（杂项）<BR><BR></FONT></U></A></P>
<TABLE>
<TBODY>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><A href="http://openmaniak.com/wireshark/wireshark_use_misc.png" target=_BLANK><FONT color=#006b77><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark miscellanous" src="http://openmaniak.com/wireshark/wireshark_use_misc_small.png" real_src="http://openmaniak.com/wireshark/wireshark_use_misc_small.png"></FONT></A></TD></TR></TBODY></TABLE>在程序的最下端，您可以获得如下信息：<BR><BR>- - 正在进行捕捉的网络设备。<BR>- 捕捉是否已经开始或已经停止。<BR>- 捕捉结果的保存位置。<BR>- 已捕捉的数据量。<BR>- 已捕捉封包的数量。(P)<BR>- 显示的封包数量。(D) (经过显示过滤器过滤后仍然显示的封包)<BR>- 被标记的封包数量。(M)
<P> <WBR></P>
<P> <WBR></P>
<P>正如您在Wireshark教程第一部分看到的一样，安装、运行Wireshark并开始分析网络是非常简单的。<BR><BR>使用Wireshark时最常见的问题，是当您使用默认设置时，会得到大量冗余信息，以至于很难找到自己需要的部分。<BR><I>过犹不及。</I><BR><BR>这就是为什么过滤器会如此重要。它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。<BR><BR></P>
<TABLE>
<TBODY>
<TR>
<TD>-<BR>-</TD>
<TD>捕捉过滤器：用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。<BR>显示过滤器：在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。</TD></TR></TBODY></TABLE>那么我应该使用哪一种过滤器呢？<BR><BR>两种过滤器的目的是不同的。<BR>捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。<BR>显示过滤器是一种更为强大（复杂）的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。<BR><BR>两种过滤器使用的语法是完全不同的。我们将在接下来的几页中对它们进行介绍：<BR><BR>
<HR align=center width=550>

<P><BR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> 1. <A href="http://openmaniak.com/cn/wireshark_filters.php#capture"><FONT color=#006b77>捕捉过滤器</FONT></A>  <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> <WBR> 2. <A href="http://openmaniak.com/cn/wireshark_filters.php#display"><FONT color=#006b77>显示过滤器</FONT></A><BR><BR></P><FONT color=#006b77>
<HR align=center width=550>
</FONT>
<P><BR><A name=capture><FONT color=#006b77><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt=Wireshark图解教程（简介、抓包、过滤器） src="http://openmaniak.com/image/carre.gif" real_src="http://openmaniak.com/image/carre.gif"> 1. 捕捉过滤器</FONT></A><BR><BR>捕捉过滤器的语法与其它使用Lipcap（Linux）或者Winpcap（Windows）库开发的软件一样，比如著名的<A href="http://openmaniak.com/tcpdump.php"><FONT color=#006b77>TCPdump</FONT></A>。捕捉过滤器必须在开始捕捉前设置完毕，这一点跟显示过滤器是不同的。<BR><BR>设置捕捉过滤器的步骤是：<BR>- 选择 capture -> options。<BR>- 填写"capture filter"栏或者点击"capture filter"按钮为您的过滤器起一个名字并保存，以便在今后的捕捉中继续使用这个过滤器。<BR>- 点击开始（Start）进行捕捉。<BR><BR><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark capture options" src="http://openmaniak.com/wireshark/wireshark_capture_options.gif" real_src="http://openmaniak.com/wireshark/wireshark_capture_options.gif"><BR><BR><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark capture options" src="http://openmaniak.com/wireshark/wireshark_capture_options_2_small.gif" real_src="http://openmaniak.com/wireshark/wireshark_capture_options_2_small.gif"> <BR><BR></P>
<TABLE border=0 cellSpacing=0 cellPadding=1>
<TBODY>
<TR>
<TD>语法：</TD>
<TD></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>Protocol</B></CENTER></TD>
<TD></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>Direction</B></CENTER></TD>
<TD></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>Host(s)</B></CENTER></TD>
<TD></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>Value</B></CENTER></TD>
<TD></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>Logical Operations</B></CENTER></TD>
<TD></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>Other expression</B></CENTER></TD></TR>
<TR>
<TD>例子：</TD>
<TD></TD>
<TD>
<CENTER>tcp</CENTER></TD>
<TD></TD>
<TD>
<CENTER>dst</CENTER></TD>
<TD></TD>
<TD>
<CENTER>10.1.1.1</CENTER></TD>
<TD></TD>
<TD>
<CENTER>80</CENTER></TD>
<TD></TD>
<TD>
<CENTER>and</CENTER></TD>
<TD></TD>
<TD>
<CENTER>tcp dst 10.2.2.2 3128</CENTER></TD></TR></TBODY></TABLE><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt=Wireshark图解教程（简介、抓包、过滤器） src="http://openmaniak.com/image/droite.gif" real_src="http://openmaniak.com/image/droite.gif"> <B>Protocol（协议）</B>:<BR>可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.<BR>如果没有特别指明是什么协议，则默认使用所有支持的协议。<BR><BR><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt=Wireshark图解教程（简介、抓包、过滤器） src="http://openmaniak.com/image/droite.gif" real_src="http://openmaniak.com/image/droite.gif"> <B>Direction（方向）</B>:<BR>可能的值: src, dst, src and dst, src or dst<BR>如果没有特别指明来源或目的地，则默认使用 "src or dst" 作为关键字。<BR>例如，"host 10.2.2.2"与"src or dst host 10.2.2.2"是一样的。<BR BR=""><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt=Wireshark图解教程（简介、抓包、过滤器） src="http://openmaniak.com/image/droite.gif" real_src="http://openmaniak.com/image/droite.gif"> <B>Host(s)</B>:<BR>可能的值： net, port, host, portrange.<BR>如果没有指定此值，则默认使用"host"关键字。<BR>例如，"src 10.1.1.1"与"src host 10.1.1.1"相同。<BR><BR><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt=Wireshark图解教程（简介、抓包、过滤器） src="http://openmaniak.com/image/droite.gif" real_src="http://openmaniak.com/image/droite.gif"> <B>Logical Operations（逻辑运算）</B>:<BR>可能的值：not, and, or.<BR>否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级，运算时从左至右进行。<BR>例如，<BR>"not tcp port 3128 and tcp port 23"与"(not tcp port 3128) and tcp port 23"相同。<BR>"not tcp port 3128 and tcp port 23"与"not (tcp port 3128 and tcp port 23)"不同。<BR><BR>
<HR align=center width=450>

<P><BR>例子：<BR><BR></P>
<TABLE>
<TBODY>
<TR>
<TD><B>tcp dst port 3128</B></TD></TR></TBODY></TABLE>显示目的TCP端口为3128的封包。<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD><B>ip src host 10.1.1.1</B></TD></TR></TBODY></TABLE>显示来源IP地址为10.1.1.1的封包。<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD><B>host 10.1.2.3</B></TD></TR></TBODY></TABLE>显示目的或来源IP地址为10.1.2.3的封包。<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD><B>src portrange 2000-2500</B></TD></TR></TBODY></TABLE>显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD><B>not imcp</B></TD></TR></TBODY></TABLE>显示除了icmp以外的所有封包。（icmp通常被ping工具使用）<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD><B>src host 10.7.2.12 and not dst net 10.200.0.0/16</B></TD></TR></TBODY></TABLE>显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD><B>(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8</B></TD></TR></TBODY></TABLE>显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络10.0.0.0/8内的所有封包。<BR>
<HR align=center width=450>

<P><BR>注意事项：<BR><BR>当使用关键字作为值时，需使用反斜杠“\”。<BR>"ether proto \ip" (与关键字"ip"相同).<BR>这样写将会以IP协议作为目标。<BR><BR>"ip proto \icmp" (与关键字"icmp"相同).<BR>这样写将会以ping工具常用的icmp作为目标。<BR><BR>可以在"ip"或"ether"后面使用"multicast"及"broadcast"关键字。<BR>当您想排除广播请求时，"no broadcast"就会非常有用。<BR><BR></P>
<HR align=center width=450>

<P><BR>查看 <A href="http://www.ethereal.com/docs/man-pages/tcpdump.8.html" target=_BLANK><FONT color=#006b77>TCPdump的主页</FONT></A>以获得更详细的捕捉过滤器语法说明。<BR>在<A href="http://wiki.wireshark.org/CaptureFilters" target=_BLANK><FONT color=#006b77>Wiki Wireshark website</FONT></A>上可以找到更多捕捉过滤器的例子。<BR><BR><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt=Wireshark图解教程（简介、抓包、过滤器） src="http://openmaniak.com/image/carre.gif" real_src="http://openmaniak.com/image/carre.gif"> 2. <A name=display><U><FONT color=#006b77>显示过滤器：</FONT></U></A><BR><BR>通常经过捕捉过滤器过滤后的数据还是很复杂。此时您可以使用显示过滤器进行更加细致的查找。<BR>它的功能比捕捉过滤器更为强大，而且在您想修改过滤器条件时，并不需要重新捕捉一次。<BR><BR></P>
<TABLE border=0 cellSpacing=0 cellPadding=1 width=520>
<TBODY>
<TR>
<TD>语法：</TD>
<TD></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><B>Protocol</B></TD>
<TD><B>.</B></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>String 1</B></CENTER></TD>
<TD><B>.</B></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>String 2</B></CENTER></TD>
<TD></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>Comparison<BR>operator</B></CENTER></TD>
<TD></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>Value</B></CENTER></TD>
<TD></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>Logical<BR>Operations</B></CENTER></TD>
<TD></TD>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid">
<CENTER><B>Other<BR>expression</B></CENTER></TD></TR>
<TR>
<TD>
<CENTER>例子：</CENTER></TD>
<TD></TD>
<TD>
<CENTER>ftp</CENTER></TD>
<TD></TD>
<TD>
<CENTER>passive</CENTER></TD>
<TD></TD>
<TD>
<CENTER>ip</CENTER></TD>
<TD></TD>
<TD>
<CENTER>==</CENTER></TD>
<TD></TD>
<TD>
<CENTER>10.2.3.4</CENTER></TD>
<TD></TD>
<TD>
<CENTER>xor</CENTER></TD>
<TD></TD>
<TD>
<CENTER>icmp.type</CENTER></TD></TR></TBODY></TABLE><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt=Wireshark图解教程（简介、抓包、过滤器） src="http://openmaniak.com/image/droite.gif" real_src="http://openmaniak.com/image/droite.gif"> <B>Protocol（协议）</B>:<BR><BR>您可以使用大量位于OSI模型第2至7层的协议。点击"Expression..."按钮后，您可以看到它们。<BR>比如：IP，TCP，DNS，SSH<BR><BR><A href="http://openmaniak.com/wireshark/wireshark_expression_button.gif" target=_BLANK><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark filter expression" src="http://openmaniak.com/wireshark/wireshark_expression_button_small.gif" real_src="http://openmaniak.com/wireshark/wireshark_expression_button_small.gif"><FONT color=#006b77> </FONT></A><BR><BR><A href="http://openmaniak.com/wireshark/wireshark_display_filter_1.png" target=_BLANK><FONT color=#006b77><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark filter expression" src="http://openmaniak.com/wireshark/wireshark_display_filter_1_small.png" real_src="http://openmaniak.com/wireshark/wireshark_display_filter_1_small.png"> </FONT></A><BR><BR>您同样可以在如下所示位置找到所支持的协议：<BR><BR><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark supported protocols" src="http://openmaniak.com/wireshark/wireshark_supported_protocols.gif" real_src="http://openmaniak.com/wireshark/wireshark_supported_protocols.gif"> <BR><BR><A href="http://openmaniak.com/wireshark/wireshark_supported_protocols_window.gif" target=_BLANK><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark supported protocols" src="http://openmaniak.com/wireshark/wireshark_supported_protocols_window_small.gif" real_src="http://openmaniak.com/wireshark/wireshark_supported_protocols_window_small.gif"><FONT color=#006b77> </FONT></A><BR><BR>Wireshark的网站提供了对各种 <A href="http://www.wireshark.org/docs/dfref/" target=_BLANK><FONT color=#006b77>协议以及它们子类的说明</FONT></A>。<BR><BR><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt=Wireshark图解教程（简介、抓包、过滤器） src="http://openmaniak.com/image/droite.gif" real_src="http://openmaniak.com/image/droite.gif"> <B>String1, String2</B> (可选项):<BR><BR>协议的子类。<BR>点击相关父类旁的"+"号，然后选择其子类。<BR><BR><A href="http://openmaniak.com/wireshark/wireshark_display_filter_2.png" target=_BLANK><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark filter expression" src="http://openmaniak.com/wireshark/wireshark_display_filter_2_small.png" real_src="http://openmaniak.com/wireshark/wireshark_display_filter_2_small.png"><FONT color=#006b77> </FONT></A><BR><BR><FONT color=#006b77><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt=Wireshark图解教程（简介、抓包、过滤器） src="http://openmaniak.com/image/droite.gif" real_src="http://openmaniak.com/image/droite.gif"></FONT> <B>Comparison operators （比较运算符）</B>:<BR><BR>可以使用6种比较运算符：<BR><BR>
<TABLE border=1 cellSpacing=0 cellPadding=1>
<TBODY>
<TR>
<TD>英文写法： <WBR></TD>
<TD>C语言写法： <WBR></TD>
<TD>含义：</TD></TR>
<TR>
<TD>
<CENTER>eq <WBR></CENTER></TD>
<TD>
<CENTER>== <WBR></CENTER></TD>
<TD>等于</TD></TR>
<TR>
<TD>
<CENTER>ne</CENTER></TD>
<TD>
<CENTER>!=</CENTER></TD>
<TD>不等于</TD></TR>
<TR>
<TD>
<CENTER>gt</CENTER></TD>
<TD>
<CENTER>></CENTER></TD>
<TD>大于</TD></TR>
<TR>
<TD>
<CENTER>lt</CENTER></TD>
<TD>
<CENTER><</CENTER></TD>
<TD>小于</TD></TR>
<TR>
<TD>
<CENTER>ge</CENTER></TD>
<TD>
<CENTER>>=</CENTER></TD>
<TD>大于等于</TD></TR>
<TR>
<TD>
<CENTER>le</CENTER></TD>
<TD>
<CENTER><=</CENTER></TD>
<TD>小于等于</TD></TR></TBODY></TABLE><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt=Wireshark图解教程（简介、抓包、过滤器） src="http://openmaniak.com/image/droite.gif" real_src="http://openmaniak.com/image/droite.gif"> <B>Logical expressions（逻辑运算符）</B>:<BR><BR>
<TABLE border=1 cellSpacing=0 cellPadding=1>
<TBODY>
<TR>
<TD>英文写法： <WBR></TD>
<TD>C语言写法： <WBR></TD>
<TD>含义：</TD></TR>
<TR>
<TD>
<CENTER>and</CENTER></TD>
<TD>
<CENTER>&&</CENTER></TD>
<TD>逻辑与</TD></TR>
<TR>
<TD>
<CENTER>or</CENTER></TD>
<TD>
<CENTER>||</CENTER></TD>
<TD>逻辑或</TD></TR>
<TR>
<TD>
<CENTER>xor</CENTER></TD>
<TD>
<CENTER>^^</CENTER></TD>
<TD>逻辑异或</TD></TR>
<TR>
<TD>
<CENTER>not</CENTER></TD>
<TD>
<CENTER>!</CENTER></TD>
<TD>逻辑非</TD></TR></TBODY></TABLE>被程序员们熟知的逻辑异或是一种排除性的或。当其被用在过滤器的两个条件之间时，只有当且仅当其中的一个条件满足时，这样的结果才会被显示在屏幕上。<BR>让我们举个例子：<BR>"tcp.dstport 80 xor tcp.dstport 1025"<BR>只有当目的TCP端口为80或者来源于端口1025（但又不能同时满足这两点）时，这样的封包才会被显示。<BR><BR>
<HR align=center width=450>

<P><BR>例子：<BR><BR></P>
<TABLE>
<TBODY>
<TR>
<TD><B>snmp || dns || icmp</B></TD>
<TD>显示SNMP或DNS或ICMP封包。</TD></TR></TBODY></TABLE>
<TABLE>
<TBODY>
<TR>
<TD><B>ip.addr == 10.1.1.1</B></TD></TR></TBODY></TABLE>显示来源或目的IP地址为10.1.1.1的封包。<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD><B>ip.src != 10.1.2.3 or ip.dst != 10.4.5.6</B></TD></TR></TBODY></TABLE>显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。<BR>换句话说，显示的封包将会为：<BR>来源IP：除了10.1.2.3以外任意；目的IP：任意<BR>以及<BR>来源IP：任意；目的IP：除了10.4.5.6以外任意<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD><B>ip.src != 10.1.2.3 and ip.dst != 10.4.5.6</B></TD></TR></TBODY></TABLE>显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。<BR>换句话说，显示的封包将会为：<BR>来源IP：除了10.1.2.3以外任意；同时须满足，目的IP：除了10.4.5.6以外任意<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD><B>tcp.port == 25</B></TD>
<TD>显示来源或目的TCP端口号为25的封包。</TD></TR></TBODY></TABLE>
<TABLE>
<TBODY>
<TR>
<TD><B>tcp.dstport == 25</B></TD>
<TD>显示目的TCP端口号为25的封包。</TD></TR></TBODY></TABLE>
<TABLE>
<TBODY>
<TR>
<TD><B>tcp.flags</B></TD>
<TD>显示包含TCP标志的封包。</TD></TR></TBODY></TABLE>
<TABLE>
<TBODY>
<TR>
<TD><B>tcp.flags.syn == 0x02</B></TD>
<TD>显示包含TCP SYN标志的封包。</TD></TR></TBODY></TABLE>如果过滤器的语法是正确的，表达式的背景呈绿色。如果呈红色，说明表达式有误。<BR><BR>
<TABLE>
<TBODY>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark display filter example" src="http://openmaniak.com/wireshark/wireshark_display_filter_green.gif" real_src="http://openmaniak.com/wireshark/wireshark_display_filter_green.gif"></TD>
<TD>表达式正确</TD></TR>
<TR>
<TD style="BORDER-BOTTOM: black 1px solid; BORDER-LEFT: black 1px solid; BORDER-TOP: black 1px solid; BORDER-RIGHT: black 1px solid"><IMG title=Wireshark图解教程（简介、抓包、过滤器） alt="wireshark display filter example" src="http://openmaniak.com/wireshark/wireshark_display_filter_red.gif" real_src="http://openmaniak.com/wireshark/wireshark_display_filter_red.gif"></TD>
<TD>表达式错误</TD></TR></TBODY></TABLE>
<P> </P></DIV>

ccd135 发表于 2012-08-26 11:02

Wireshark是世界上最流行的网络分析工具

页: [1]

Chinaunix's Archiver

Wireshark图解教程（简介、抓包、过滤器）