急，求ehereal的抓包过滤规则

number321

是抓包过滤规则，而不是显示规则，就是只抓我规则里的包

要只抓http的，其它的都不要，比如说TCP连接的包不要

网上说抓http包的规则都是tcp port 80，但是所有向80端口发起的TCP包都会抓到，如果有攻击的话，HTTP包就被淹没在这些包里了


所以只要HTTP的，有ethereal0.99有没有办法做到呢

ssffzz1

这个应该比较困难。

有本书叫做 TCPDUMP中文手册 ，还可以参考LIBPCAP库手册。

asdfmaomao

在抓包的时候可以根据你的选择，比如只抓IP地址为固定多少的。或者MAC地址为都少的。或者tcp端口号是808的。都可以设置地！

luffy.deng

还在用ehereal ？？用Wireshark吧filter里直接就有http

number321

wireshark和ethereal用的pcap区别大吗

是不是pcap的抓包规则里面,没有我说的那种呢

就是只抓连接形成后,真正发来的HTTP包,而不是只简单地抓所有的向80端口的TCP包

如果有...可不可以直接把这条规则告诉我,急用....

luffy.deng

原帖由 number321 于 2009-3-5 00:37 发表
wireshark和ethereal用的pcap区别大吗

是不是pcap的抓包规则里面,没有我说的那种呢

就是只抓连接形成后,真正发来的HTTP包,而不是只简单地抓所有的向80端口的TCP包

如果有...可不可以直接把这条规则告诉 ...

pcap是一样的, wireshark的filter有一个直接就是http,应该是抓向80端口的TCP包过滤的结果，比如 /GET(.*)HTTP.*Host

ssffzz1

LS的用wireshark证实过吗
我的1.03版本怎么不行啊。没有“http“这个过滤规则。

你用的什么版本啊。

azzurris

wireshark Version 0.99.6a (SVN Rev 22276)
capture--interface--option--capture filter
倒数第三个
filter name：HTTP TCP port (80)
filter string：tcp port http

luffy.deng

原帖由 ssffzz1 于 2009-3-5 09:00 发表
LS的用wireshark证实过吗
我的1.03版本怎么不行啊。没有“http“这个过滤规则。

你用的什么版本啊。

我用的1.04,看图。

ssffzz1

唉，我当是啥啊。
这个和  tcp port 80   没什么区别。只是wireshark做成了一个条目而已。