Wireshark使用（捕获过滤器、显示过滤器、TCP交互抓包示例、抓取本地回环数据包等）_通过操作实例说明wireshark捕获过滤器和显示过滤器的使用-程序员宅基地
技术标签： wireshark 过滤器 工具 tcpip 网络通信
| 1.捕获过滤器规则 |
捕获过滤器在开始捕捉之前设置，用于从源头控制被过滤的包内容，仅符合规则的包会被捕获并记录进捕获日志文件。
1.2 语法规则
字段：[Protocol][Direction][Host(s)][Value][Logical Operations][Other expression]
例子： tcp dst port 80 and tcp dst 192.168.1.2
● Protocol
说明：用于协议过滤，未指定则默认使用所有支持的协议，直接使用逻辑运算符拼接
取值举例：ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp, udp, tcp or udp
● Direction
说明：指定数据方向，来源或目的地，未指定默认为两个方向都支持（src or dst）。
取值举例：src, dst, src and dst, src or dst
● Host(s) Value
说明：指定通信参数，包括主机地址、端口、端口范围等，未指定则认为指定的值表示主机地址（host）。
取值举例：net, port, host, portrange
● Logical Operations
说明：逻辑运算符，可用于任意位置的条件组合；“not”具有最高优先级，“and”、“or”具有相同的优先级，运算时从左到右进行。
取值：not, and, or
● 关键字作为值
说明：使用关键字作为值时，需要使用反斜杠‘/’进行转义。
1.3 应用举例
| 条件 | 规则语句 |
|---|---|
| TCP目的端口为1234 | tcp dst port 1234 |
| 源IP地址为192.168.1.2 | ip src (host) 192.168.1.2（“host”关键字可选） |
| 与IP地址192.168.1.2交互的数据包 | host 192.168.1.2 （需要开头的“host”） |
| 与指定MAC地址主机交互的数据包（设置为路由器MAC可过滤外网通信数据包） | ether host XX-XX-XX-XX-XX-XX |
| 端口号在10000-20000范围内的UDP或TCP包 | tcp or udp portrange 10000-20000 |
| 除了icmp协议以外的其他包 | not icmp |
| 源IP为192.168.1.2，目的地址不是192.168.0.0/16网段的包 | src host 192.168.1.2 and not dst net 192.168.0.0/16 |
| 源IP为192.168.1.2或源网段为192.168.0.0/16且TCP目的端口为12345、目的网段为192.169.0.0/16的包 | (src host 192.168.1.2 or src net 192.168.0.0/16) and tcp dst port 123456 and dst net 192.169.0.0/16 |
| 不抓取广播包 | not broadcast |
| 2.显示过滤器规则 |
显示过滤器用于在已经捕获到的结果中过滤数据用于显示，规则仅影响界面显示的数据，不影响记录捕获结果的日志文件；捕捉过程中可随意更改。
1.2 语法规则
字段：[Protocol].[Key1].[Key2].[...][Comparsion operator][Value][Logical Operations][Other expression]
例子：tcp . dst . ip == 192.168.1.2 or http
1.3 常用Key值
| 类型 | Key |
|---|---|
| 比较运算符 | ==(eq), !=(ne), >(gt), <(lt), >=(ge), <=(le) contains：包含 matches：匹配 |
| 逻辑运算符 | &&(and), ||(or), ^^(xor), !(not) […]：切片，指定位置的数据匹配 |
| 协议 | tcp udp ftp snmp dns icmp |
| 端口 | port：通信端口 srcport：源端口 dstport：目的端口 |
| IP地址 | ip.addr：通信IP地址 ip.src：源地址 ip.dst：目的地址 |
| http | http.host：域名 http.request.method：请求方式 http.request.uri：过滤请求的URI http.response.code：返回状态码 |
| 其他 | flags：标志位相关信息 frame：帧相关内容 eth：物理地址（MAC）相关的过滤 |
1.4 应用举例
| 条件 | 规则语句 |
|---|---|
| 仅显示ICMP或DNS包 | icmp || dns |
| 与IP地址192.168.1.2交互的包 | ip.addr==192.168.1.1 |
| 来源IP为192.168.1.2但目的IP不为192.168.1.3的包 | ip.src==192.168.1.2 && ip.dst==192.168.1.3 |
| 通信端口为1234或目的端口为6789的TCP包 | tcp.port==1234 |
| 包含TCP标识信息且标识信息不是PSH的包 | tcp.flags && (!tcp.flags.push) |
| UDP端口大于10000的包 | udp.port > 10000 |
| HTTP请求URI为“XXXX”且方法为POST | http.request.uri==“XXXX” && http.request.method == post |
| HTTP请求URI中包含“XXXX”内容 | http.request.uri contains “XXXX” |
| HTTP请求中域名包含“XXXX.com” | http.host contains “XXXX.com” |
| HTTP请求中有 “ABCD”内容的包 | http contains “ABCD” |
| HTTP请求状态码不为200的包 | !(http.response.code == 200) |
| UDP校验和为0x1234的包 | udp.checksum == 0x1234 |
| UDP和校验失败的包 | udp.checksum.bad |
| 与MAC地址AA:AA:AA:AA:AA:AA交互且目的MAC不是BB:BB:BB:BB:BB:BB的包 | eth.addr==AA:AA:AA:AA:AA:AA && eth.dst != BB:BB:BB:BB:BB:BB |
| 帧号小于50的包 | frame.number < 50 |
| 数据长度为100的包 | data.len == 100 |
| 3.TCP建立连接和断开连接抓包示例 |
● 每一行记录标识抓到的一个网络数据包，记录行中展示了源IP地址（Source）、目的IP地址（Destination）、协议(Protocol)、数据长度(Length)以及概要信息(Info)等内容。
注：概要信息中"[]"内为指定的协议头部标识为是否生效，如[SYN，ACK]标识AYN和ACK标识为均为1。
● 点击记录行，下方窗体将展示当前记录行的详细信息，可展开和收缩，当前页面展示的是第2条记录的相关信息，数据基本分为以下几个层级：
Frame：物理层，含数据包封装类型、帧号、帧长度等基本信息。
Ethernet II：数据链路层，主要为双方的MAC地址等头部信息。
Internet Protocol Version XX：网络层，主要为IP协议封装等，含版本、通信IP地址、总长度等信息。
Transmission Control Protocol[Data]：传输层，主要为TCP、UDP协议封装等，含通信端口、标识等TCP头部信息以及具体的数据内容。
● 传输层展示的信息较常关注，如图1所示能够直接展开查看当前序号、确认序号、头部标识每一位的信息。
注：图1中每条记录左侧标注的‘1’、‘2’、‘3‘等序号将在后续分析过程中直接使用。
3.2 TCP建立连接过程分析
● 1、7：客户端发送SYN标识为1（[SYN]），请求序号为0（Seq=0）的“第一次握手”数据包至服务端（客户端进入“SYN-SENT”状态）；
● 2、8：服务端确认客户端请求，回复SYN和ACK标识均为1（[SYN, ACK]），请求序号为0（Seq=0），确认序号为1（Ack=1）的“第二次握手”数据包至客户端（服务端进入“SYN-RCVD”状态）；
● 3、9：客户端收到确认请求，再次向服务端发送ACK标识为1（[ACK]），请求序号为1（Seq=1），确认序号为1（Ack=1）的“第三次握手”数据包至服务端（客户端直接进入、服务端在收到确认报文后进入“ESTABLISHED”状态）。
注1：“第二次握手”服务端回复的确认序号为客户端发送的“第一次握手”请求序号+1；“第三次握手”客户端回复的确认的确认序号为服务端回复的“第二次握手”请求序号+1。
注2：序列号Seq和确认序列号Ack均是Wireshrk内部自行处理后的相对序列号”，非原始序列号可通过点击菜单【编辑】->【首选项】->【Protocols】->【TCP】，在弹出的页面中去掉对应的参数项 关闭，如图2所示。
3.3 TCP服务端断开连接过程分析
● 10：服务端发送FIN和ACK标识均为1（[FIN, ACK]），请求序号为1（Seq=1），确认序号为1（Ack=1）的“第一次握手”数据包至客户端（服务端进入“FIN-WAIT-1”状态）；
● 11：客户端确认服务端的断开请求，回复ACK标识为1（[ACK]），请求序号为1（Seq=1），确认序号为2（Ack=2）的“第二次握手”数据包（客户端进入“CLOSE-WAIT”状态，服务端收到回复后进入“FIN-WAIT-2”状态）；
● 12：客户端清理完本地环境，确认可以断开连接时，发送FIN和ACK标识为1，请求序号为1，确认序号为2的“第三次握手”数据包至服务端（客户端进入“LAST-ACK”状态）；
● 13：服务端收到客户端断开请求后，发送ACK标识为1（[ACK]），请求序号为2（Seq=2），确认序号为2（Ack=2）的“第四次握手”数据包至客户端。（服务端进入“TIME-WAIT”状态，2MSL后可进入“CLOSED”状态；客户端收到确认报文后直接进入“CLOSED”状态）。
注1：“第二次握手”和“第三次握手”发送的请求序号均为“第一次握手”的确认序号，确认序号为“第一次握手”请求序号+1；“第四次握手”与“第三次握手”序号关系类似。
注2：“第二次握手”完成后，主动断开的一方将不能再发送出握手报文外的其他报文数据，但仍能够接收数据；被动断开的一方可以将待发送数据处理完毕之后再确认是否断开连接。
3.4 TCP客户端断开连接过程分析
● 4：客户端发送FIN和ACK标识均为1（[FIN, ACK]），请求序号为1（Seq=1），确认序号为1（Ack=1）的“第一次握手”数据包至服务端（客户端进入“FIN-WAIT-1”状态）；
● 5：服务端确认客户端的断开请求，回复ACK标识为1（[ACK]），请求序号为1（Seq=1），确认序号为2（Ack=2）的“第二次握手”数据包（服务端进入“CLOSE-WAIT”状态，客户端收到回复后进入“FIN-WAIT-2”状态）；
● 6：服务端一直未发送确认断开连接的第三、四次握手数据包，客户端在等待超时后直接发起RST和ACK标识均为1，请求序号为1，确认序号为1的数据包，强行终止连接（此时会清空数据缓冲区，双方也不需要进行回复确认）。
注：本示例中情况特殊，服务端未回复确认断开的数据包，实际场景中客户端主动断开连接一般也有4次挥手。
| 4.TCP发送数据抓包示例 |
◆ 点击选择发送数据的数据包，下方窗体“Data”层级会显示对应的数据内容和长度，下方窗体任意位置右键选择【追踪流】->【TCP流】，可以查看数据具体内容。
注：如图3所示，追踪TCP流主窗体上方展示数据内容，可在右下角“显示和保存数据为”下拉框设置数据显示的格式，一般选择“HEX 转储”，以十六进制显示保持最好的兼容性。
| 5.抓取本地回环地址数据包 |
可尝试以下两种方法抓取回环地址的数据包。
● 添加路由规则
（1）需要抓取时使用以下命令添加路由规则，表示经过指定本机IP172.27.88.88（可设置为指定网段，通过掩码确定）的数据包，全部通过172.27.88.1转发；
route add 172.27.88.88 mask 255.255.255.255 172.27.88.1
（2）抓取完毕后使用以下命令删除路由信息。
route delete 172.27.88.88
注1：使用此方式仅能将本机IP作为回环地址，暂不支持“127.0.0.1”和“localhost”地址。
注2：添加此路由信息后会导致本机内部通信的数据全部通过网卡转发，会耗费大量不必要的资源，因此使用完毕后，建议删除路由。
● 安装使用“Npcap”工具
（1）下载Npcap安装包,安装过程可能要求卸载默认的“WinPcap”工具；
（2）抓包时选择名为“Npcap Loopback adapter XX”的网络接口，即可抓取本地回环地址数据包。
注1：WireShark在Windows上默认使用“WinPcap”工具抓取数据包，“Npcap”基于“WinPcap”4.1.3开发，兼容API接口。
注2：使用“Npcap”工具能够抓取“127.0.0.1”、“localhost”、本机IP等过滤条件的所有数据。
注3：可能会导致电脑无线网卡不能正常使用，卸载“Npcap”工具后即可恢复正常。
| 6.其他使用细节 |
6.1 抓包内容保存
（1）抓包完成后，先停止抓包，才能进行数据保存操作；
（2）要导出所有结果，随时进行特定的分析，直接点击【文件】->【保存】,将抓包结果保存为“pcapng”后缀的指定文件，后续可直接通过【文件】->【打开】菜单，导入保存的文件进行分析，如图4所示；
（3）要导出特定格式的结果，点击【文件】->【导出分组解析结果为】，选择对应的格式皆可。
注：导出的特定格式的结果时，建议选择纯文本格式，该格式导出的数据为当前信息展示窗体（图1中下方窗体）中所有展开的参数内容，并且对每一条记录都会做对应的展开处理，其他格式均只会记录固定的参数信息。
6.2 抓包时报“IP checksum error”类似的错误，但应用层正常
可尝试以下方法解决：设备管理器中在对应网卡上右键->【属性】->【高级】，“IPV4 硬件校验和”参数选择“关闭”。
说明：一般由操作系统的TCP/IP协议栈完成TCP/UDP/IP包校验和的计算工作，设置此参数后将由网卡自己完成校验和的计算；如果没有相关参数，可能是网卡自身或网卡驱动不支持此功能；设置之后会导致网络性能的降低。
智能推荐
攻防世界_难度8_happy_puzzle_攻防世界困难模式攻略图文-程序员宅基地
文章浏览阅读645次。这个肯定是末尾的IDAT了，因为IDAT必须要满了才会开始一下个IDAT，这个明显就是末尾的IDAT了。，对应下面的create_head()代码。，对应下面的create_tail()代码。不要考虑爆破，我已经试了一下，太多情况了。题目来源：UNCTF。_攻防世界困难模式攻略图文
达梦数据库的导出（备份）、导入_达梦数据库导入导出-程序员宅基地
文章浏览阅读2.9k次，点赞3次，收藏10次。偶尔会用到，记录、分享。1. 数据库导出1.1 切换到dmdba用户su - dmdba1.2 进入达梦数据库安装路径的bin目录，执行导库操作 导出语句：./dexp cwy_init/[email protected]:5236 file=cwy_init.dmp log=cwy_init_exp.log 注释： cwy_init/init_123..._达梦数据库导入导出
js引入kindeditor富文本编辑器的使用_kindeditor.js-程序员宅基地
文章浏览阅读1.9k次。1. 在官网上下载KindEditor文件，可以删掉不需要要到的jsp，asp，asp.net和php文件夹。接着把文件夹放到项目文件目录下。2. 修改html文件，在页面引入js文件：<script type="text/javascript" src="./kindeditor/kindeditor-all.js"></script><script type="text/javascript" src="./kindeditor/lang/zh-CN.js"_kindeditor.js
STM32学习过程记录11——基于STM32G431CBU6硬件SPI+DMA的高效WS2812B控制方法-程序员宅基地
文章浏览阅读2.3k次，点赞6次，收藏14次。SPI的详情简介不必赘述。假设我们通过SPI发送0xAA，我们的数据线就会变为10101010，通过修改不同的内容，即可修改SPI中0和1的持续时间。比如0xF0即为前半周期为高电平，后半周期为低电平的状态。在SPI的通信模式中，CPHA配置会影响该实验，下图展示了不同采样位置的SPI时序图[1]。CPOL = 0，CPHA = 1：CLK空闲状态 = 低电平，数据在下降沿采样，并在上升沿移出CPOL = 0，CPHA = 0：CLK空闲状态 = 低电平，数据在上升沿采样，并在下降沿移出。_stm32g431cbu6
计算机网络-数据链路层_接收方收到链路层数据后,使用crc检验后,余数为0,说明链路层的传输时可靠传输-程序员宅基地
文章浏览阅读1.2k次，点赞2次，收藏8次。数据链路层习题自测问题1.数据链路(即逻辑链路)与链路(即物理链路)有何区别?“电路接通了”与”数据链路接通了”的区别何在?2.数据链路层中的链路控制包括哪些功能?试讨论数据链路层做成可靠的链路层有哪些优点和缺点。3.网络适配器的作用是什么?网络适配器工作在哪一层?4.数据链路层的三个基本问题(帧定界、透明传输和差错检测)为什么都必须加以解决？5.如果在数据链路层不进行帧定界，会发生什么问题？6.PPP协议的主要特点是什么？为什么PPP不使用帧的编号？PPP适用于什么情况？为什么PPP协议不_接收方收到链路层数据后,使用crc检验后,余数为0,说明链路层的传输时可靠传输
软件测试工程师移民加拿大_无证移民，未受过软件工程师的教育（第1部分）-程序员宅基地
文章浏览阅读587次。软件测试工程师移民加拿大 无证移民，未受过软件工程师的教育(第1部分) (Undocumented Immigrant With No Education to Software Engineer(Part 1))Before I start, I want you to please bear with me on the way I write, I have very little gen...
随便推点
Thinkpad X250 secure boot failed 启动失败问题解决_安装完系统提示secureboot failure-程序员宅基地
文章浏览阅读304次。Thinkpad X250笔记本电脑，装的是FreeBSD，进入BIOS修改虚拟化配置（其后可能是误设置了安全开机），保存退出后系统无法启动，显示：secure boot failed ，把自己惊出一身冷汗，因为这台笔记本刚好还没开始做备份.....根据错误提示，到bios里面去找相关配置，在Security里面找到了Secure Boot选项，发现果然被设置为Enabled，将其修改为Disabled ，再开机，终于正常启动了。_安装完系统提示secureboot failure
C++如何做字符串分割（5种方法）_c++ 字符串分割-程序员宅基地
文章浏览阅读10w+次，点赞93次，收藏352次。1、用strtok函数进行字符串分割原型： char *strtok(char *str, const char *delim);功能：分解字符串为一组字符串。参数说明：str为要分解的字符串，delim为分隔符字符串。返回值：从str开头开始的一个个被分割的串。当没有被分割的串时则返回NULL。其它：strtok函数线程不安全，可以使用strtok_r替代。示例：//借助strtok实现split#include <string.h>#include <stdio.h&_c++ 字符串分割
2013第四届蓝桥杯 C/C++本科A组 真题答案解析_2013年第四届c a组蓝桥杯省赛真题解答-程序员宅基地
文章浏览阅读2.3k次。1 .高斯日记 大数学家高斯有个好习惯：无论如何都要记日记。他的日记有个与众不同的地方，他从不注明年月日，而是用一个整数代替，比如：4210后来人们知道，那个整数就是日期，它表示那一天是高斯出生后的第几天。这或许也是个好习惯，它时时刻刻提醒着主人：日子又过去一天，还有多少时光可以用于浪费呢？高斯出生于：1777年4月30日。在高斯发现的一个重要定理的日记_2013年第四届c a组蓝桥杯省赛真题解答
基于供需算法优化的核极限学习机(KELM)分类算法-程序员宅基地
文章浏览阅读851次，点赞17次，收藏22次。摘要：本文利用供需算法对核极限学习机(KELM)进行优化，并用于分类。
metasploitable2渗透测试_metasploitable2怎么进入-程序员宅基地
文章浏览阅读1.1k次。一、系统弱密码登录1、在kali上执行命令行telnet 192.168.26.1292、Login和password都输入msfadmin3、登录成功，进入系统4、测试如下：二、MySQL弱密码登录：1、在kali上执行mysql –h 192.168.26.129 –u root2、登录成功，进入MySQL系统3、测试效果：三、PostgreSQL弱密码登录1、在Kali上执行psql -h 192.168.26.129 –U post..._metasploitable2怎么进入
Python学习之路：从入门到精通的指南_python人工智能开发从入门到精通pdf-程序员宅基地
文章浏览阅读257次。本文将为初学者提供Python学习的详细指南，从Python的历史、基础语法和数据类型到面向对象编程、模块和库的使用。通过本文，您将能够掌握Python编程的核心概念，为今后的编程学习和实践打下坚实基础。_python人工智能开发从入门到精通pdf