Wireshark 提示和技巧 | a == ${a} 显示过滤宏

本文已参与「新人创作礼」活动,一起开启创作之路。

背景

活到老,学到老,每天进步一点点。

有点记不清楚这个过滤技巧,是学自哪了,可能是国外某个大神的案例视频,也有可能是 Wireshark SharkFest 大会上的分享视频,总之这个过滤技巧真的是绝,谁用谁知道。

万能格式如下:

a == ${a}

实例

本实例数据包如下,包含有两条 TCP Stream 0 和 1 。

Wireshark 提示和技巧 | a == ${a} 显示过滤宏

正常来说,我们分析某个数据包文件时,可能会存在有多条 TCP 流或者 UDP 流(wireshark 中定义说法)。当需要根据某条流做具体内容分析时,一般也有两种方式:

  1. TCP Stream Num 方式
tcp.stream == 1

Wireshark 提示和技巧 | a == ${a} 显示过滤宏

  1. 追踪流方式

Wireshark 提示和技巧 | a == ${a} 显示过滤宏

然后就是本文要重点介绍的方式了,a == ${a} ,当然具体到本实例,实际表达式为:

tcp.stream == ${tcp.stream}

Wireshark 提示和技巧 | a == ${a} 显示过滤宏

该方式在数据包列表中任意点选某条 TCP Stream 中的一个数据包后,通过应用 tcp.stream == ${tcp.stream} 显示过滤表达式后,即可过滤出整条 TCP Stream。

当然每次在显示过滤器栏中输入 tcp.stream == ${tcp.stream} ,肯定要比输入 tcp.stream == 0 Num 的方式要麻烦,但是可以结合过滤器按钮用啊, 天作之合不是 。

使用方式完整如下,一图胜千言

Wireshark 提示和技巧 | a == ${a} 显示过滤宏

扩展

当然,一直在强调是万能格式, 你想怎么扩展使用都可以,简单举例如下

  1. 以太网类型过滤
eth.type == ${eth.type}
eth.type != ${eth.type}

譬如快速过滤是或非 ARP、IPv4 等数据包。

  1. IP 地址过滤
ip.src == ${ip.src}
ip.dst == ${ip.dst}
ip.addr == ${ip.src}
ip.addr == ${ip.dst}

根据 IP 源或目的地址快速过滤。

注:由于 IP 地址存在多个字段值,ip.addr == x.x.x.x 实际是表示匹配指定源或目的 IP 的数据包,但 ip.addr== ${ip.addr} 无法使用,因为实际上是没有 ip.addr 字段的 。

  1. 会话过滤
(ip.src == ${ip.src} and ip.dst == ${ip.dst}) or (ip.src == ${ip.dst} and ip.dst == ${ip.src})

Wireshark 提示和技巧 | a == ${a} 显示过滤宏

  1. IP ID 过滤
ip.id == ${ip.id}

快速查找重复 IP ID 的数据包。

学会了嘛?

发表评论

提供最优质的资源集合

立即查看 了解详情