實(shí)驗(yàn)-Wireshark顯示過(guò)濾規(guī)則設(shè)置

1、Wireshark過(guò)濾規(guī)則實(shí)驗(yàn)Wireshark是世界上最流行的網(wǎng)絡(luò)分析工具。這個(gè)強(qiáng)大的工具可以捕捉網(wǎng)絡(luò)中的數(shù)據(jù)，并為用戶提供關(guān)于網(wǎng)絡(luò)和上層協(xié)議的各種信息。與很多其他網(wǎng)絡(luò)工具一樣，Wireshark也使用pcap network library來(lái)進(jìn)行封包捕捉。Wireshark的優(yōu)勢(shì)：- 安裝方便。- 簡(jiǎn)單易用的界面。- 提供豐富的功能。    Wireshark的原名是Ethereal，新名字是2006年起用的。當(dāng)時(shí)Ethereal的主要開(kāi)發(fā)者決定離開(kāi)他原來(lái)供職的公司，并繼續(xù)開(kāi)發(fā)這個(gè)軟件。但由于Ethereal這個(gè)名稱的使用權(quán)已經(jīng)被原來(lái)那個(gè)公司注冊(cè)，Wiresh

2、ark這個(gè)新名字也就應(yīng)運(yùn)而生了。顯示過(guò)濾器的使用一、過(guò)濾IP，如來(lái)源IP或者目標(biāo)IP等于某個(gè)IP例子:或者實(shí)驗(yàn)：1、設(shè)置顯示目的IP為本機(jī)IP的過(guò)濾語(yǔ)法并截圖，替換樣圖2、設(shè)置顯示源IP為本機(jī)IP并且目的IP為鄰居IP的過(guò)濾語(yǔ)法并截圖：二、端口過(guò)濾tcp.port eq 80 / 不管端口是來(lái)源的還是目標(biāo)的都顯示tcp.port = 80tcp.port eq 2722tcp.port eq 80 or udp.port eq 80tcp.dstport = 21 / 只顯tcp協(xié)議的目標(biāo)端口21tcp.srcport = 21 / 只顯tcp協(xié)議的來(lái)源端口21udp.port eq 1500

3、0過(guò)濾端口范圍tcp.port >= 1 and tcp.port <= 80實(shí)驗(yàn)：1、設(shè)置顯示源端口號(hào)為80的過(guò)濾語(yǔ)法并截圖2、設(shè)置顯示目的端口號(hào)范圍為1-1023的過(guò)濾語(yǔ)法并截圖三、 過(guò)濾MACeth.dst = A0:00:00:04:C5:84 / 過(guò)濾目標(biāo)maceth.src eq A0:00:00:04:C5:84 / 過(guò)濾來(lái)源maceth.dst=A0:00:00:04:C5:84eth.dst=A0-00-00-04-C5-84eth.addr eq A0:00:00:04:C5:84 / 過(guò)濾來(lái)源MAC和目標(biāo)MAC都等于A0:00:00:04:C5:84的實(shí)驗(yàn)：1

4、、確定本機(jī)MAC地址為 2、設(shè)置顯示源MAC為本機(jī)MAC并且目的MAC為鄰居MAC的過(guò)濾語(yǔ)法并截圖提示，需要在顯示欄中將MAC地址顯示出來(lái)，與顯示源端口和目的端口一樣的操作。四、 包長(zhǎng)度過(guò)濾less than 小于 < lt 小于等于 le等于 eq大于等于 ge不等 ne例子:udp.length = 26 這個(gè)長(zhǎng)度是指udp本身固定長(zhǎng)度8加上udp下面那塊數(shù)據(jù)包之和tcp.len >= 7 指的是ip數(shù)據(jù)包(tcp下面那塊數(shù)據(jù)),不包括tcp本身ip.len = 94 除了以太網(wǎng)頭固定長(zhǎng)度14,其它都算是ip.len,即從ip本身到最后frame.len = 119 整個(gè)數(shù)據(jù)包

5、長(zhǎng)度,從eth開(kāi)始到最后實(shí)驗(yàn)：1、設(shè)置tcp包長(zhǎng)度大于等于ge 20并且小于等于le 40的過(guò)濾語(yǔ)法并截圖（將包長(zhǎng)度欄顯示出來(lái)，和源端口與目的端口顯示一樣）2、設(shè)置ip長(zhǎng)度大于20并且小于等于le 40的過(guò)濾語(yǔ)法并截圖（將包長(zhǎng)度欄顯示出來(lái)）3、設(shè)置幀大于等于60并且小于等于le 100的過(guò)濾語(yǔ)法并截圖（將包長(zhǎng)度欄顯示出來(lái)）4、包長(zhǎng)度欄顯示的長(zhǎng)度表示的是（ ）長(zhǎng)度A鏈路幀 B IP包 C TCP/UDP分組 D 應(yīng)用層數(shù)據(jù)5、設(shè)置ip包的生存時(shí)間大于100并且小于200并且為DNS協(xié)議類型的過(guò)濾語(yǔ)法并截圖6、設(shè)置顯示icmp的ping請(qǐng)求包并且源IP為鄰居IP的過(guò)濾語(yǔ)法并截圖五、 http模式過(guò)

6、濾例子:http contains "GET"http contains "HTTP/1."/ GET包/ POST包/ 響應(yīng)包http contains "HTTP/1.1 200 OK" && http contains "Content-Type: "http contains "HTTP/1.0 200 OK" && http contains "Content-Type: "一定包含如下Content-Type:實(shí)驗(yàn)：1、設(shè)置顯示HTTP協(xié)議的GET包的過(guò)濾語(yǔ)法并截圖2、設(shè)置顯示HTTP協(xié)議的POST包的過(guò)濾語(yǔ)法并截圖六. TCP