干货，Wireshark使用技巧-过滤规则
“介绍Wireshark抓包时使用的过滤规则。”
熟练使用Wireshark，对协议分析大有帮助。本文介绍抓取报文时使用的过滤规则和对已有报文的显示进行控制的显示规则。
01
—
过滤规则使用
在抓取报文时使用的规则，称为过滤规则，Wireshark底层是基于Winpcap，因此过滤规则是Winpcap定义的规则，设置过滤规则后，抓到的报文仅包含符合规则的报文，其它报文则被丢弃。
Wireshark的过滤规则，与Linux下tcpdump的过滤规则基本相同，二者可相互参考。
在抓包选项内填写过滤规则，然后点开始即可使用过滤规则进行抓包。
过滤规则与协议相关，对wireshark过滤规则，只要了解相应协议（例如UDP、TCP），理解基本语法，都不算复杂。
当前版本的Wireshark已经支持了部分简单的过滤规则，大大地简化了使用难度：
仅使用默认的规则进行过滤完全无法满足过滤抓包需要，因此需要更深入地对过滤规则进行了解，下一节进行详细说明。
02
—
过滤规则例子
本节通过一些例子，来说明其用法。
1、仅抓取80端口的TCP报文
tcp port 80
这个规则是比较通用的仅抓取HTTP协议的规则，因为通常情况下，HTTP协议都是走TCP 80端口，这样设置抓包，可以满足大部分场景。
2、抓取80端口和8080端口的TCP报文
tcp port 80 or tcp port 8080
按第一条规则，虽然能满足大部分情况，但大家应该了解，HTTP协议可以设置走任意端口，如比较通用的8080端口，为更完整地抓包，则抓包规则中需要加入8080端口，因此我们使用or将tcp port 80和 tcp port 8080两个条件连接，则能抓取所有80端口和8080端口的TCP报文。
除了or，还有and和not可以用在过滤规则中。
3、抓取IP为192.168.0.1的80端口的TCP报文
tcp port 80 and host 192.168.0.1
and 连接符表示两个条件必须为真，结果才为真，符合连接的两个条件的报文才被抓取。
4、抓取除ip为192.168.0.1并且端口为80的报文外的所有报文
not (tcp port 80 and host 192.168.0.1)
not连接符表示非，则符合not修饰的规则的报文将不被抓取。
()将规则包含，来确定规则的优先级。
5、抓取ip报文
ether proto 0x0800
以太网头部有很多种协议，如果只想抓取一种协议，如IP协议，则按这条规则抓取。ether及proto为固定字段，表示以太头的proto字段，而0x0800为以太头部的IP协议类型值。如果要抓取ARP协议，则将值0x0800改为0x0806即可。
6、抓取IP负载长度大于100字节的报文
ip[2:2] > 100
[]表示偏移，IP协议头部偏移值为2，规则含义为ip数据段内偏移2字节的2字节内容的值大于100，而该内容如果熟悉IP协议的话，可知其为ip.total_length，对ether/tcp/udp这些常用协议，都可采用类似方法取值，当然，优先采用更简便的方法。
过滤规则适用于在抓包之前就设置好了条件，已经了解需要抓取那些报文，丢弃哪些报文的情景，如果需要在抓包之后进一步对报文进行分析，就必须使用显示规则，显示规则将在后续文章中介绍，敬请关注。
如果在过滤规则使用上有不懂的地方，可以关注我进行了解，免费的。
长按进行关注。
相关文章：
《图解HTTP》笔记之TCP/IP
TCP/IP 通常使用的网络（包括互联网）是在TCP/IP协议族的基础上运作的。把互联网相关联的协议集合起来总称为TCP/IP。而HTTP属于它内部的一个子集（HTTP协议是建立在TCP协议之上的一种应用）： TCP/IP协议族里最重要的一…
JS --正则表达式验证、实战之邮箱模式
JS验证格式：提高用户体验，验证文本。需要防止程序员的代码结构更改攻击，因为web段的代码有可能会被更改，更改后JS有可能会验证不住那么，C#端在JS段通过验证的情况下，还需要进行二次验证 <body><fo…
《ASP.NET MVC4 WEB编程》学习笔记------Web API 续
目录 ASP.NET WEB API的出现缘由 ASP.NET WEB API的强大功能 ASP.NET WEB API的出现缘由 随着UI AJAX 请求适量的增加，ASP.NET MVC基于JsonResult的控制器操作将无法满足高级AJAX前端的需求。如果真的出现这种情况，就应该好好寻找一种更简单，…
干货：Wireshark使用技巧-显示规则
“ 介绍Wireshark对已有报文的显示进行控制的显示规则。”之前对Wireshark抓包时使用的过滤规则进行了介绍，本文介绍对已有报文的显示进行控制的显示规则。掌握了显示规则，你使用Wireshark的动作都会炫起来。点击回顾：过滤规则01—显示规则使…
【转载】Linux系统与性能监控
原文: Linux System and Performance Monitoring Darren Hoch 译:Roger 这是[叔度]给我的一篇非常不错的关于Linux性能监控的文档，可惜是英文的，网上只能找到些中文节选，并不完整。 准备花些时间将原文共43页认真学习一下，顺便翻译…
iOS端Socket连接、发送数据（一）
一、Socket的应用 IM即时通讯是通过Socket的方式实现长连接，可运用于 （1）直播聊天室、礼物 （2）微信、QQ等即时聊天 （3）游戏对话、技能等 二、SOCKET原理 套接字（socket&#x…
dataTable 从服务器获取数据源的两种表现形式
1 var table $(#example1).DataTable({2 "processing": true,//加载效果3 "autoWidth": false,4 "iDisplayLength": 25,//设置每页要显示的条数5 "lengthMenu": [[25, 50, 100], [25, 50, 100]],//设…
干货！链家二手房数据抓取及内容解析要点
“本文对链家官网网页进行内容分析，可以作为一般HTTP类应用协议进行协议分析的参考，同时，对链家官网的结构了解后，可以对二手房相关信息进行爬取，并且获取被隐藏的近期成交信息。”另外，近期将对包含登录帐…
Atitit.软件兼容性原理与实践 v3 q326.docx
Atitit.软件兼容性原理与实践 v3 q326.docx 1. 架构兼容性1 2. Api兼容性1 2.1. 新api vs 修改旧的api1 3. Web方面的兼容性（js，html）1 3.1. Threadlocal2 4. 数据库表兼容性2 4.1. 2. 扩展表模式2 5. 兼容性策略2 5.1. Atitit.兼容性的“一…
用PULL解析器解析XML文件
第一种方式（简洁，直接用pullparser.nextText()来返回下一个String类型的值）： 1 package lee.service; 2 3 import java.io.InputStream; 4 import java.util.ArrayList; 5 import java.util.List; 6 import org.xmlpull…
iOS端Socket（二）ProtocolBuffer使用
ProtocolBuffer使用 一、环境及ProtocolBuffer的安装 分别在终端执行以下命令： ruby -e "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install)"brew install protobuf-swift brew install automake brew install libtoo…
Wireshark分析实战：某达速递登录帐号密码提取
“使用某达速递的官网登陆及APP登录，来学习Wireshark的使用。”在如今这个HTTPS深入人心的情况下，作为一个也不算很小的快递，某达速递，不但全站HTTP，而且登录帐号密码明文未加密传输，也算是技术落后到了一定…
【并行计算-CUDA开发】从零开始学习OpenCL开发（一）架构
多谢大家关注 转载本文请注明：http://blog.csdn.net/leonwei/article/details/8880012 本文将作为我《从零开始做OpenCL开发》系列文章的第一篇。 1 异构计算、GPGPU与OpenCL OpenCL是当前一个通用的由很多公司和组织共同发起的多CPU\GPU\其他芯片 异构计算…
使用 fcntl 函数 获取，设置文件的状态标志
前言 当打开一个文件的时候，我们需要指定打开文件的模式( 只读，只写等 )。那么在程序中如何获取，修改这个文件的状态标志呢？本文将告诉你如何用 fcntl函数 获取指定文件的状态标志。 解决思路 1. 对于获取文件状态标志，…
UILabel显示带颜色边的文字
需求如图，UILabel要实现带红色边的文字显示。 1、新建UILabel的子类JXBorderLabel 2、重写drawRect:方法 #import "JXBorderLabel.h"implementation JXBorderLabel- (void)drawRect:(CGRect)rect {//1.获取上下文CGContextRef context UIGraphicsGe…
协议分析中的TCP/IP网络协议
“ TCP/IP协议作为互联网的基础，在协议分析中不可或缺，本文介绍在对协议进行分析还原的过程中的一些要点，快速掌握协议还原的精髓。” 注意，本文比较枯燥乏味，若非需要了解TCP/IP协议相关信息，建议绕行。 …
忠告初学者学习Linux系统的8点建议
忠告初学者学习Linux系统的8点建议新手或者说即将要入坑的小伙伴们，常常在QQ群或者在Linux论坛问一些问题，不过，其中大多数的问题都是很基础的。例如：如何给添加的用户归属用户组，复制整个文件到另一个目录下面&#x…
iOS显示gif图片的几种方法
方法一、传统方式 //1.加载Gif图片，转换成Data类型NSString *path [NSBundle.mainBundle pathForResource:"demo" ofType:"gif"];NSData *data [NSData dataWithContentsOfFile:path];//2.将data数据转换成CGImageSource对象CGImageSourceRe…
简单文件传输协议TFTP分析还原
“ 介绍TFTP协议及传输内容的还原。”TFTP，全称为Trivial File Transfer Protocol，即简单文件传输协议，是一个用来在客户端与服务器之间进行简单文件传输的协议，UDP承载，它真的很简单。其协议标准为RFC1350，…
Oracle中的字符处理方法
向左补全字符串lpad(字段名,填充长度,填充的字符) select lpad(1,4,0) from dual; 向右补全字符串rpad(字段名,填充长度,填充的字符) select rpad(1,4,0) from dual; 返回字符串小写select lower(STUDENT) from dual; 返回字符串大写select upper(admin) from dual; 单词首字符…
fwt优化+树形DP HDU 5909
1 //fwt优化树形DP HDU 59092 //见官方题解3 // BestCoder Round #88 http://bestcoder.hdu.edu.cn/4 5 #include <bits/stdc.h>6 // #include <iostream>7 // #include <cstdio>8 // #include <cstdlib>9 // #include <algorithm> 10 // #inclu…
iOS直播（二）GPUImage音视频采集
上文中介绍了用AVFoundation实现音视频采集（https://blog.csdn.net/dolacmeng/article/details/81268622） ，开源的基于GPU的第三方图像处理库GPUImage对AVFoundation进行了进一步的封装，打开GPUImgeVideoCamera.m查看代码…
Wireshark使用技巧：提取VOIP通话中的音频流
“Wireshark的RTP流分析功能实战。”在VOIP协议的分析过程中，常常会遇到一些标准协议承载的语音传输，如以SIP、H.323为控制协商协议，RTP为语音数据协议的VOIP传输情况。在语音协议的分析过程中，需要提取的一个重要项是语音内容&am…
在预装win8的电脑上换win7系统讲解
现在买电脑，如果电脑预装的系统是win8系统，那么这个电脑的默认启动模式应该就是UEFI模式，现在UEFI模式正在逐渐取代传统模式。UEFI启动需要一个独立的分区，它将系统启动文件和操作系统本身隔离，可以更好的保护系统的启…
iOS直播（三）GPUImage音视频采集并写入文件
上一篇介绍了用GPUImage图像处理库进行图像采集，从而避免了直接使用AVFoundation（AVKit）时繁琐的代码，同时不用熟悉OpenGL ES也可以快速地对图像进行美颜、添加滤镜等。这一篇介绍如果使用多个滤镜以及录制视频，并保存…
使用Wireshark进行DNS协议解析
“ DNS协议格式解析及说明。”DNS即域名系统（Domain Name System），是用来将域名与IP地址建立映射的协议，通过DNS协议，可以方便记忆。DNS可基于TCP或UDP，使用53号端口，常见的是使用UDP承载&#…
iOS直播（四）对视频进行压缩编码
1.为什么要进行编码? 不经过压缩编码的原视频，所占空间大，不便于保存和网络传输，所以视频录制完后，需要先编码，再传输，解码后再播放。 2.视频为什么可以被压缩？ 视频存在冗余信息࿰…
nRF51800 蓝牙学习 进程记录 2：关于二维数组 执念执战
前天在玩OLED时想完成一直想弄得一个东西，就是简单的单片机游戏。因为STM32和nRF51822的内存足够，所以就用缓存数组的方法来显示图像（我也不知道术语是啥，反正就是在内存中建立一个128X64的二维数组，更新显示时将整个数…
.net卸载程序制作
.net卸载程序制作 原文:.net卸载程序制作方法一： 在打包项目中添加文件msiexec.exe(一般在c:\windows\system32(系统目录中)找到)。 在文件系统视图中选择应用程序文件，在msiexec.exe上单击右键选择“创建快捷方式”，重命名快捷方式为“unins…
Windows下的DNS命令用法
“Windows下DNS相关命令的用法。”在协议分析过程中，经常会遇到一种情况，一次对某域名抓包的过程中，抓到了某个域名的DNS请求，之后再抓包，却抓不到的情况。这时候就需要DNS命令出马了，本文介绍Windows下的D…