一站式學習Wireshark（八）：應用Wireshark過濾條件抓取特定資料流

emc.com發表於2015-11-21

應用抓包過濾，選擇Capture | Options，擴充套件視窗檢視到Capture Filter欄。雙擊選定的介面，如下圖所示，彈出Edit Interface Settints視窗。

下圖顯示了Edit Interface Settings視窗，這裡可以設定抓包過濾條件。如果你確知抓包過濾條件的語法，直接在Capture Filter區域輸入。在輸入錯誤時，Wireshark通過紅色背景區域表明無法處理過濾條件。最有可能的情況是，過濾條件中含有輸入錯誤，或是使用了display filter的語法。

點選Capture Filter按鈕檢視並選擇已儲存的抓包過濾條件。

更多資訊

抓取指定IP地址的資料流:

如果你的抓包環境下有很多主機正在通訊，可以考慮使用所觀察主機的IP地址來進行過濾。以下為IP地址抓包過濾示例：

  • host 10.3.1.1：抓取發到/來自10.3.1.1的資料流
  • host 2406:da00:ff00::6b16:f02d：抓取發到/來自IPv6地址2406:da00:ff00::6b16:f02d的資料流
  • not host 10.3.1.1：抓取除了發到/來自10.3.1.1以外的所有資料流
  • src host 10.3.1.1：抓取來自10.3.1.1的資料流
  • dst host 10.3.1.1：抓取發到10.3.1.1的資料流
  • host 10.3.1.1 or 10.3.1.2：抓取發到/來自10.3.1.1，以及與之通訊的所有資料流，與10.3.1.2，以及與之通訊的所有資料流
  • host www.espn.com：抓取發到/來自所有解析為www.espn.com的IP地址的資料流

抓取指定IP地址範圍的資料流:

當你需要抓取來自/發到一組地址的資料流，可以採用CIDR(無類別域間路由，Classless Interdomain Routing)格式或使用mask引數。

  • net 10.3.0.0/16：抓取網路10.3.0.0上發到/來自所有主機的資料流(16表示長度)
  • net 10.3.0.0 mask 255.255.0.0：與之前的過濾結果相同
  • ip6 net 2406:da00:ff00::/64：抓取網路2406:da00:ff00:0000(IPv6)上發到/來自所有主機的資料流
  • not dst net 10.3.0.0/16：抓取除了發到以10.3開頭的IP地址以外的所有資料流
  • not src net 10.3.0.0/16：抓取除了來自以10.3開頭的IP地址以外的所有資料流
  • ip proto <protocol code>：抓取ip協議欄位等於<protocol code>值的報文。如TCP(code 6), UDP(code 17), ICMP(code 1)。
  • ip[2:2]==<number>：ip報文大小
  • ip[8]==<number>：TTL(Time to Live)值
  • ip[9]==<number>：協議值
  • icmp[icmptype]==<identifier>: 抓取 ICMP程式碼等於identifier的ICMP報文, 如icmp-echo 以及 icmp-request。

方括號中第一個數字表示從協議頭開始的偏移量，第二個數字表示需要觀察多少位。

抓取發到廣播或多播地址的資料流:

只需偵聽廣播或多播資料流，就可以掌握網路上主機的許多資訊。

  • ip broadcast：抓取廣播報文
  • ip multicast：抓取多播報文
  • dst host ff02::1：抓取到IPv6多播地址所有主機的資料流
  • dst host ff02::2：抓取到IPv6多播地址所有路由器的資料流

小貼士：

Wireshark包含了一些預設的抓包過濾條件。點選主工具欄的Edit Capture Filters，跳轉到已儲存抓包過濾列表。你會發現一些常見抓包過濾的示例。

抓取基於MAC地址的資料流:

當你需要抓取發到/來自某一主機的IPv4或IPv6資料流，可建立基於主機MAC地址的抓包過濾條件。

應用MAC地址時，需確保與目標主機處於同一網段。

  • ether host 00:08:15:00:08:15：抓取發到/來自00:08:15:00:08:15的資料流
  • ether src 02:0A:42:23:41:AC：抓取來自02:0A:42:23:41:AC的資料流
  • ether dst 02:0A:42:23:41:AC：抓取發到02:0A:42:23:41:AC的資料流
  • not ether host 00:08:15:00:08:15：抓取除了發到/來自00:08:15:00:08:15以外的所有資料流
  • ether broadcast或ether dst ff:ff:ff:ff:ff:ff：抓取廣播報文
  • ether multicast：多播報文
  • 抓取指定乙太網型別的報文：ether proto 0800
  • 抓取指定VLAN：vlan <vlan number>
  • 抓取指定幾個VLAN：vlan <vlan number> and vlan <vlan number>

抓取基於指定應用的資料流:

你可能需要檢視基於一個或幾個應用的資料流。抓包過濾器語法無法識別應用名，因此需要根據埠號來定義應用。通過目標應用的TCP或UDP埠號，將不相關的報文過濾掉。

  • port 53：抓取發到/來自埠53的UDP/TCP資料流（典型是DNS資料流）
  • not port 53：抓取除了發到/來自埠53以外的UDP/TCP資料流
  • port 80：抓取發到/來自埠80的UDP/TCP資料流（典型是HTTP資料流）
  • udp port 67：抓取發到/來自埠67的UDP資料流（典型是DHCP據流）
  • tcp port 21：抓取發到/來自埠21的TCP資料流（典型是FTP命令通道）
  • portrange 1-80：抓取發到/來自埠1-80的所有UDP/TCP資料流
  • tcp portrange 1-80：抓取發到/來自埠1-80的所有TCP資料流

抓取結合埠的資料流:

當你需要抓取多個不連續埠號的資料流，將它們通過邏輯符號連線起來，如下圖所示：

  • port 20 or port 21：抓取發到/來自埠20或21的UDP/TCP資料流（典型是FTP資料和命令埠）
  • host 10.3.1.1 and port 80：抓取發到/來自10.3.1.1埠80的資料流
  • host 10.3.1.1 and not port 80：抓取發到/來自10.3.1.1除了埠80以外的資料流
  • udp src port 68 and udp dst port 67：抓取從埠68到埠67的所有UDP資料流（典型是從DHCP客戶端到DHCP伺服器）
  • udp src port 67 and udp dst port 68：抓取從埠67到埠68的所有UDP資料流（典型是從DHCP伺服器到DHCP客戶端）
  • 抓取TCP連線的開始（SYN）和結束（FIN）報文，配置tcp[tcpflags] & (tcp-syn|tcp-fin)!=0
  • 抓取所有RST(Reset)標誌位為1的TCP報文，配置tcp[tcpflags] & (tcp-rst)!=0
  • less <length>：抓取小於等於某一長度的報文，等同於len <=<length>
  • greater <length>：抓取大於等於某一長度的報文，等同於len >=<length>

SYN: 簡歷連線的訊號

FIN: 關閉連線的訊號

ACK: 確認接收資料的訊號

RST: 立即關閉連線的訊號

PSH: 推訊號，儘快將資料轉由應用處理

  • tcp[13] & 0×00 = 0: No flags set (null scan)
  • tcp[13] & 0×01 = 1: FIN set and ACK not set
  • tcp[13] & 0×03 = 3: SYN set and FIN set
  • tcp[13] & 0×05 = 5: RST set and FIN set
  • tcp[13] & 0×06 = 6: SYN set and RST set
  • tcp[13] & 0×08 = 8: PSH set and ACK not set

tcp[13]是從協議頭開始的偏移量，0,1,3,5,6,8是標識位

儘量避免使用抓包過濾。即便多看幾個報文，也比漏看一個報文要好。當你抓取了大量報文的時候，用顯示過濾（過濾選項也更多）來重點檢視某一資料流。

小貼士：

如果你需要檢視TCP幀中的某一ASCII字串，用Wireshark String-Matching Capture Filter Generator(http://www.wireshark.org/tools/string-cf.html)。例如，想要抓取HTTP GET報文，輸入GET並將TCP偏移量設定為0。

本文系列目錄：

相關文章