【2. 显示过滤器】

2. 显示过滤器:通常经过捕捉过滤器过滤后的数据还是很复杂。此时您可以使用显示过滤器进行更加细致的查找。它的功能比捕捉过滤器更为强大,而且在您想修改过滤器条件时,并不需要重新捕捉一次。语法:Protocol. String 1

 2. 显示过滤器:

通常经过捕捉过滤器过滤后的数据还是很复杂。

此时您可以使用显示过滤器进行更加细致的查找。
它的功能比捕捉过滤器更为强大,而且在您想修改过滤器条件时,并不需要重新捕捉一次。

语法:
Protocol.                   String 1                .                   String 2                
                   Comparison
operator                

                   Value                
                   Logical
Operations                

                   Other
expression                
例子:
ftp
passive
ip
==
10.2.3.4
xor
icmp.type



 Protocol(协议):

您可以使用大量位于OSI模型第2至7层的协议。点击"Expression..."按钮后,您可以看到它们。
比如:IP,TCP,DNS,SSH

 

您同样可以在如下所示位置找到所支持的协议:
 

Wireshark的网站提供了对各种 协议以及它们子类的说明。 


 String1, String2 (可选项):

协议的子类。
点击相关父类旁的"+"号,然后选择其子类。 

可以使用6种比较运算符:

英文写法: C语言写法: 含义:
eq == 等于
ne!=不等于
gt>大于
lt<小于
ge>=大于等于
le<=小于等于

 Logical expressions(逻辑运算符):

英文写法: C语言写法: 含义:
and&&逻辑与
or||逻辑或
xor^^逻辑异或
not!逻辑非

被程序员们熟知的逻辑异或是一种排除性的或。


被程序员们熟知的逻辑异或是一种排除性的或。

当其被用在过滤器的两个条件之间时,只有当且仅当其中的一个条件满足时,这样的结果才会被显示在屏幕上。

让我们举个例子:
"tcp.dstport 80 xor tcp.dstport 1025"
只有当目的TCP端口为80或者来源于端口1025(但又不能同时满足这两点)时,这样的封包才会被显示。 




例子:

snmp || dns || icmp显示SNMP或DNS或ICMP封包。
ip.addr == 10.1.1.1

显示来源或目的IP地址为10.1.1.1的封包。

ip.src != 10.1.2.3 or ip.dst != 10.4.5.6

显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。
换句话说,显示的封包将会为:
来源IP:除了10.1.2.3以外任意;目的IP:任意
以及
来源IP:任意;目的IP:除了10.4.5.6以外任意

ip.src != 10.1.2.3 and ip.dst != 10.4.5.6

显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。 
换句话说,显示的封包将会为:
来源IP:除了10.1.2.3以外任意;同时须满足,目的IP:除了10.4.5.6以外任意

tcp.port == 25显示来源或目的TCP端口号为25的封包。
tcp.dstport == 25显示目的TCP端口号为25的封包。
tcp.flags显示包含TCP标志的封包。
tcp.flags.syn == 0x02显示包含TCP SYN标志的封包。

如果过滤器的语法是正确的,表达式的背景呈绿色。如果呈红色,说明表达式有误。

wireshark display filter example表达式正确
wireshark display filter example表达式错误

您可以在Wireshark官方网站Wiki Wireshark website上找到关于显示过滤器的补充信息。