Wireshark 捕获 / 过滤指定 ip 地址数据包

wireshark 捕获 / 过滤指定 ip 地址数据包

使用捕获过滤或显示过滤,wireshark 可以仅捕获 / 显示经过指定 ip 的数据包,即某个 ip 收到或发出的所有数据包。


显示过滤:wireshark 过滤经过指定 ip 的数据包

显示过滤可以完整的复现测试时的网络环境,但会产生较大的捕获文件和内存占用。

ip.addr ==192.168.1.1 // 显示所有目标或源地址是 192.168.1.1 的数据包
ip.dst==192.168.1.1 // 显示目标地址是 192.168.1.1 的数据包
ip.src ==192.168.1.1 // 显示源地址是 192.168.1.1 的数据包
eth.addr== 80:f6:2e:ce:3f:00   // 根据 MAC 地址过滤。
ip.src==192.168.0.0/16   // 网络过滤,过滤一个网段

捕获过滤:wireshark 捕获经过指定 ip 的数据包

捕捉过滤抓包前在 capture option 中设置,仅捕获符合条件的包,可以避免产生较大的捕获文件和内存占用,但不能完整的复现测试时的网络环境。

host 192.168.1.1      // 抓取 192.168.1.1 收到和发出的所有数据包
src host 192.168.1.1    // 源地址,192.168.1.1 发出的所有数据包
dst host 192.168.1.1    // 目标地址,192.168.1.1 收到的所有数据包
src host hostname    // 根据主机名过滤
ether  host 80:05:09:03:E4:35    // 根据 MAC 地址过滤
net 192.168.1    // 网络过滤,过滤整个网段
src net 192.168
dst net 192

使用 “非 / 且 / 或” 建立组合过滤条件可以获得更精确的捕获

非: ! or “not” (去掉双引号)
且: && or “and”
或: || or “or”

wirershark 过滤指定 ip 收发数据包示例:

抓取所有目的地址是 192.168.1.2 或 192.168.1.3 端口是 80 的 TCP 数据

(tcp port 80) and ((dst host 192.168.1.2) or (dst host
192.168.1.3))   // 捕获过滤
tcp.port==80&&(ip.dst==192.168.1.2||ip.dst==192.168.1.3)    // 显示过滤

抓取所有目标 MAC 地址是 80:05:09:03:E4:35 的 ICMP 数据

(icmp) and ((ether dst host 80:05:09:03:E4:35))
icmp && eth.dst==80:05:09:03:E4:35

抓取所有目的网络是 192.168,但目的主机不是 192.168.1.2 的 TCP 数据

(tcp) and ((dst net 192.168) and (not dst host 192.168.1.2))
tcp&&ip.src==192.168.0.0/16&&!(ip.src==192.168.1.2)

捕获主机 192.168.1.1 和主机 192.168.1.2 或 192.168.1.3 的通信

host 192.168.1.1 and  (192.168.1.2 or 192.168.1.3 )
ip.addr==192.168.1.1&&(ip.addr==192.168.1.2||ip.addr==192.168.1.3)

获取主机 192.168.1.1 除了和主机 192.168.1.2 之外所有主机通信的数据包

host 192.168.1.1 and ! 192.168.1.2
ip.addr==192.168.1.1&&!ip.addr==192.168.1.2

获取主机 192.168.1.1 接收或发出的 telnet 包,telnet 使用 tcp 23 端口

tcp port 23 and host 192.168.1.1
tcp.port==23&&ip.addr==192.168.1.1