wireshare capture filter捕捉过滤的设置
2013-08-29 17:30
190 查看
我们在使用wireshark去抓取协议log的时候,经常碰到抓到的log过大,而很难打开的想象。特别是对于测试时间久的case, log size几个G,甚至十几,几十个G的情况,对于这种情况,有两种处理的方法,一种是log分段存取,例如可以设置每50M存一次; 另一种方法是加入你只需要某一种协议的log,可以把它单独过滤存储,或者把不需要的协议/端口log 过滤掉。 本文介绍的就是capture filter捕捉过滤的设置方法。捕捉过滤器的语法与其它使用Lipcap(Linux)或者Winpcap(Windows)库开发的软件一样,比如著名的TCPdump。捕捉过滤器必须在开始捕捉前设置完毕,这一点跟显示过滤器是不同的。\设置捕捉过滤器的步骤是:
- 选择 capture -> options。
- 填写"capture filter"栏或者点击"capture filter"按钮为您的过滤器起一个名字并保存,以便在今后的捕捉中继续使用这个过滤器。
- 点击开始(Start)进行捕捉。
Protocol(协议):
可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.
如果没有特别指明是什么协议,则默认使用所有支持的协议。(除了过滤上述协议外,不能过滤其他协议,例如sctp.)
Direction(方向):
可能的值: src, dst, src and dst, src or dst
如果没有特别指明来源或目的地,则默认使用 "src or dst" 作为关键字。
例如,"host 10.2.2.2"与"src or dst host 10.2.2.2"是一样的。 <BR
Host(s):
可能的值: net, port, host, portrange.
如果没有指定此值,则默认使用"host"关键字。
例如,"src 10.1.1.1"与"src host 10.1.1.1"相同。Logical Operations(逻辑运算):
可能的值:not, and, or.
否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级,运算时从左至右进行。
例如,
"not tcp port 3128 and tcp port 23"与"(not tcp port 3128) and tcp port 23"相同。
"not tcp port 3128 and tcp port 23"与"not (tcp port 3128 and tcp port 23)"不同。例子:
显示目的TCP端口为3128的封包。
显示来源IP地址为10.1.1.1的封包。
显示目的或来源IP地址为10.1.2.3的封包。
显示来源为UDP或TCP,并且端口号在2000至2500范围内的封包。
显示除了icmp以外的所有封包。(icmp通常被ping工具使用)
显示来源IP地址为10.7.2.12,但目的地不是10.200.0.0/16的封包。
显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16,目的地TCP端口号在200至10000之间,并且目的位于网络10.0.0.0/8内的所有封包。
注意事项:
当使用关键字作为值时,需使用反斜杠“\”。
"ether proto \ip" (与关键字"ip"相同).
这样写将会以IP协议作为目标。
"ip proto \icmp" (与关键字"icmp"相同).
这样写将会以ping工具常用的icmp作为目标。
可以在"ip"或"ether"后面使用"multicast"及"broadcast"关键字。
当您想排除广播请求时,"no broadcast"就会非常有用。
查看TCPdump的主页以获得更详细的捕捉过滤器语法说明。
在Wiki Wireshark website上可以找到更多捕捉过滤器的例子。
- 选择 capture -> options。
- 填写"capture filter"栏或者点击"capture filter"按钮为您的过滤器起一个名字并保存,以便在今后的捕捉中继续使用这个过滤器。
- 点击开始(Start)进行捕捉。
语法: | | Protocol | | Direction | | Host(s) | | Value | | Logical Operations | | Other expression |
例子: | | tcp | | dst | | 10.1.1.1 | | 80 | | and | | tcp dst 10.2.2.2 3128 |
可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.
如果没有特别指明是什么协议,则默认使用所有支持的协议。(除了过滤上述协议外,不能过滤其他协议,例如sctp.)
Direction(方向):
可能的值: src, dst, src and dst, src or dst
如果没有特别指明来源或目的地,则默认使用 "src or dst" 作为关键字。
例如,"host 10.2.2.2"与"src or dst host 10.2.2.2"是一样的。 <BR
Host(s):
可能的值: net, port, host, portrange.
如果没有指定此值,则默认使用"host"关键字。
例如,"src 10.1.1.1"与"src host 10.1.1.1"相同。Logical Operations(逻辑运算):
可能的值:not, and, or.
否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级,运算时从左至右进行。
例如,
"not tcp port 3128 and tcp port 23"与"(not tcp port 3128) and tcp port 23"相同。
"not tcp port 3128 and tcp port 23"与"not (tcp port 3128 and tcp port 23)"不同。例子:
tcp dst port 3128 |
ip src host 10.1.1.1 |
host 10.1.2.3 |
src portrange 2000-2500 |
not imcp |
src host 10.7.2.12 and not dst net 10.200.0.0/16 |
(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8 |
注意事项:
当使用关键字作为值时,需使用反斜杠“\”。
"ether proto \ip" (与关键字"ip"相同).
这样写将会以IP协议作为目标。
"ip proto \icmp" (与关键字"icmp"相同).
这样写将会以ping工具常用的icmp作为目标。
可以在"ip"或"ether"后面使用"multicast"及"broadcast"关键字。
当您想排除广播请求时,"no broadcast"就会非常有用。
查看TCPdump的主页以获得更详细的捕捉过滤器语法说明。
在Wiki Wireshark website上可以找到更多捕捉过滤器的例子。
相关文章推荐
- sharepoint filter by current group(根据当前用户所在的用户组过滤)
- BCB OpenDialog 设置了Filter属性后但是却没有过滤效果
- web.xml设置编码格式---在filter 过滤并设置当前要设置的编码格式
- Wireshark capture filter设置
- 关于同时设置 VAR_FILTERS 和 DEFAULT_FILTER 造成数据二次过滤的BUG
- 过滤器(Filter)应用之------设置页面缓存、用户的自动登录和敏感词过滤
- Eclipse通过日志消息过滤设置Logcat Message Filter Settings来过滤自己特定项目的日志
- Wireshare常用过滤规则
- C# openfiledialog设置filter属性后达不到过滤效果的原因之一
- Filter(一)——设置SimpleAdapter的Filter从而过滤数据
- 金蝶EAS,分录表格中F7字段实现数据过滤,FilterInfo多条件关系设置
- C# openfiledialog设置filter属性后达不到过滤效果的原因之一
- 去除 ListView 在 setFilterText 设置过滤之后出现黑色弹框
- Filter(一)——设置SimpleAdapter的Filter从而过滤数据
- Spring 编码过滤 -- 解析Filter实现原理
- XsqlFilterResult----动态生成sql语句的类,过滤一些为空的查询条件
- 如何在视频处理控件TVideoGrabber中设置音频捕捉设备
- Direcshow中视频捕捉和参数设置报告
- SVN客户端TortoiseSVN中设置文件过滤
- jQuery03---过滤选择器(filter)