要让Wireshark只显示 ARP 请求帧,显示过滤器的写法

1. 协议过滤器 arp:显示所有ARP流量,包括免费ARP,ARP请求和ARP应答。 ip ipv6 tcp

wireshark过滤器 Wireshark过滤器

2. 应用过滤器 bootp:显示所有DHCP流量(基于BOOTP); dns:显示所有DNS流量,包括基于TCP传输和UDP的DNS请求和响应; tftp:显示所有TFTP(简单文件传输协议

3. 字段存在过滤器 bootp.option.

wireshark不设置过滤

wireshark不设置过滤可以这样做：

1、捕获过滤器

捕获过滤器：在抓包之前就设定好过滤条件，然后只抓取符合条件的数据包。

2、显示过滤器

显示过滤器：在已捕获的数据包集合中设置过滤条件，隐藏不想显示的数据包，只显示符合条件的数据包。

wireshark的过滤器 ip.addr、ip.src和ip.dst有什么不同？

针对wireshark最常用的自然是针对IP地址的过滤。其中有几种情况：

（1）对源地址为192.168.0.1的包的过滤，即抓取源地址满足要求的包。

表达式为：ip.src == 192.168.0.1

（2）对目的地址为192.168.0.1的包的过滤，即抓取目的地址满足要求的包。

表达式为：ip.dst == 192.168.0.1

（3）对源或者目的地址为192.168.0.1的包的过滤，即抓取满足源或者目的地址的ip地址是192.168.0.1的包。

表达式为：ip.addr == 192.168.0.1,或者 ip.src == 192.168.0.1 or ip.dst == 192.168.0.1

（4）要排除以上的数据包，我们只需要将其用括号囊括，然后使用 "!" 即可。

表达式为：!(表达式)

【Wireshark】Wireshark 过滤器表达式语法

Wireshark 的世界里有2种过滤器，分别是捕获过滤器和显示过滤器。

采用恰当的过滤器，不但能提高数据分析的灵活性，而且能让分析者更快看到自己想要的分析对象。

BPF(Berkeley Packet Filter)全称为伯克利包过滤,是一种功能非常强大的过滤语法.这个语法被广泛应用于多种数据包嗅探软件,因为大部分数据包嗅探软件都依赖于使用BPF的libpcap/WinPcap库.诸如tcpdump,wireshark等等。

捕获过滤器：wireshark 仅捕获过滤器设置的数据，其它数据不收集，用于定向分析问题。

显示过滤器：wireshark 对已经捕获的数据，进行显示设置。只是不显示的数据还是在内存中的，修改显示过滤器就可以显示出来，不适合大流量的场景。

捕获过滤器语法规则 BPF（Berkeley Packet Filter），使用 google 搜索 “BPF 语法” 能搜索到很多相关内容。

显示过滤器是对已经抓取的数据，进行显示过滤设置。 语法是 wireshark 自己的语法，可以使用 wireshark 辅助生成过滤表达式。

WireShark DisplayFilter Examples

Wireshark基础使用和表达式语法

Chapter 6. Working With Captured Packets

Wireshark入门与进阶系列之常见捕获过滤器

BPF过滤规则

wireshark设置阻止进程上网

修改TTL值为1 ，ping百度前后对比图。

修改前成功ping通，修改后ping失败。

TTL：数据报文的生存周期。在网络中每经过一个网络设备它的值-1，linux默认值是64。

TTL作用：防止数据包在公网中无限制的转发。

二、同时wireshark抓icmp包，显示发送的两个包的TTL值都为1；TTL值改为2时，抓包也得到TTL值为2；改为默认值后，回到最初状态。

三、拓展：mtr网络分析工具

1)安装mtr

2)启动mtr

3)mtr测试结果的分析

第一列:host显示的是IP地址和本机域名，这点和tracert很像；

第二列：loss%就是对应IP行的丢包率了，需要注意的是有些丢包是由于icmp的保护机制造成的，并不 代表真的丢包；

第三列:snt每秒发送数据包的数量，默认值是10，可通过参数 -c来指定发包个数；

第四列:Last显示的最近一次的返回时延；

第五列:Avg是平均值 这个应该是发送ping包的平均时延；

第六列:Best是最好或者说时延最短的；

第七列:Wrst是最差或者说时延最常的；

第八列:StDev是标准偏差，统计学名词，一种量度数据分布的分散程度标准，用以衡量数据值偏离算术平均值的程度。标准偏差越小，这些值偏离平均值就越少。

wireshark的配置

除了官网，很少有文章来说wireshark的配置的，由于研究需要，我们需要了解wireshark的配置，所以把官网的一些资料翻译下。

说明本文主要翻译官网的内容，结合自己的理解可能有所更改，也许有些错误，请谅解。

也许是软件本身比较复杂的原因，导致wireshark的配置非常多，在不同的文件夹下面，导致理解起来非常麻烦。

配置文件/文件夹 描述 unix/linux 文件夹 windows 下

1)preferences 对话框的偏好设置 /etc/wireshark.conf $HOME/.wireshark/preferences %WIRESHARK%\wireshark.conf, %APPDATA%\Wireshark\preferences

2)recent 最近GUI设置（最近文件列表） $HOME/.wireshark/recent %APPDATA%\Wireshark\recent

3)cfilters 抓包过滤 $$HOME/.wireshark/cfilters %APPDATA%|%WIRESHARK%\Wireshark\cfilters

4)dfilters 显示过滤器 $HOME/.wireshark/dfilters %APPDATA%|%WIRESHARK%\Wireshark\dfilters

5) colorfilters 颜色规则 $HOME/.wireshark/colorfilters %APPDATA%|%WIRESHARK%\Wireshark\colorfilters

6) disabled_protos 禁止协议 $HOME/.wireshark/disabled_protos %APPDATA%|%WIRESHARK%\Wireshark\disabled_protos

7)ethers 以太网名称解析 /etc/ethers $HOME/.wireshark/ethers %APPDATA%|%WIRESHARK%\Wireshark\ethers

**8)manuf ** 以太网名称解析 /etc/manuf $HOME/.wireshark/manuf %APPDATA%|%WIRESHARK%\Wireshark\manuf

9) 主机 IPV4和IPV6名称解析 /etc/hosts ,$HOME/.wireshark/hosts %APPDATA%|%WIRESHARK%\Wireshark\hosts

10) subnets IPV4子网名称解析 /etc/subnets $HOME/.wireshark/subnets %APPDATA%|%WIRESHARK%\Wireshark\subnets

11)ipxnets IPX名称解析 /etc/ipxnet $HOME/.wireshark/ipxnets %APPDATA%|%WIRESHARK%\Wireshark\ipxnets

12)plugins 插件目录 /usr/share/wireshark/plugins /usr/local/share/wireshark/plugins $HOME/.wireshark/plugins %APPDATA%|%WIRESHARK%\Wireshark\plugins

13)temp 临时文件 环境变量：TMPDIR 环境变量：TMPDIR 或TEMP

windows下的目录说明：

％APPDATA％指向个人配置文件夹，例如:( C:\Documents and Settings\

\Application Data 详细信息请参见： 第A.3.1节“Windows配置文件” ），

％WIRESHARK％指向Wireshark程序文件夹，例如： C:\Program Files\Wireshark

preferences/wireshark.conf

这个文件包括wireshark的偏好配置，包括默认的抓包和显示包等，简单的text语句显示格式如下：

variable:value

在程序启动的时候读取这个配置，在你更改“首选项”的时候将数据写入到文件。

可以看下界面，内容是相当丰富。

最近配置，此文件包含各种GUI相关设置，如主窗口位置和大小，最近的文件列表等。它是一个包含以下形式语句的简单文本文件：

variable:value

此文件包含已经定义和保存的所有捕获过滤器。它由一行或多行组成，每行包括以下格式：

"

"

在捕获过滤器对话框中按“保存”按钮时保存到文件，程序启动时候读取配置

此文件包含已经定义和保存的所有显示过滤器，它由一行或多行组成，每行包含以下格式：

"

"

此文件包含已经定义和保存的所有滤色器，它由一行或多行组成，每行包括以下格式：

程序启动时候读取，在颜色规则对话框中设置保存按钮的时候保存。

每行表示一个禁止的协议名，下面给出一些列子：

当Wireshark尝试将以太网硬件地址转换为名称时，它会查询 表A.1“配置文件和文件夹概述”中 列出的 文件 。如果在/etc/ethers中找不到地址，Wireshark将查找$ HOME /.wireshark/ethers

这些文件中的每一行由一个硬件地址和由空格分隔的名称组成。硬件地址的数字由冒号（:)，短划线（ - ）或句点（。）分隔。以下是一些例子：

启动时候读取，但是不会写。

Wireshark使用 表A.1“配置文件和文件夹概述”中 列出的文件将 以太网地址的前三个字节转换为制造商名称。此文件具有与ethers文件相同的格式，但地址长度为三个字节。

一个例子是：

启动时候读入，但是不写。

Wireshark使用 表A.1“配置文件和文件夹概述”中 列出的 文件 将IPv4和IPv6地址转换为名称。

此文件的格式与Unix系统上通常的/ etc / hosts文件相同。

一个例子是：

只加载，但是不写入。

Wireshark使用 表A.1“配置文件和文件夹概述”中 列出的文件将 IPv4地址转换为子网名称。如果未找到来自hosts文件或DNS的完全匹配，Wireshark将尝试部分匹配该地址的子网。

此文件的每一行都包含一个IPv4地址，一个仅由'/'分隔的子网掩码长度和一个用空格分隔的名称。虽然地址必须是完整的IPv4地址，但随后会忽略超出掩码长度的任何值。

一个例子是：

部分匹配的名称将打印为“subnet-name.remaining-address”。例如，上面子网下的“192.168.0.1”将打印为“ws_test_network.1”; 如果上面的掩码长度是16而不是24，则打印的地址将是“ws_test_network.0.1”。

此文件中的设置在程序启动时读入，并且从不由Wireshark写入。

Wireshark使用 表A.1“配置文件和文件夹概述”中 列出的 文件 将IPX网络号转换为名称。

一个例子是:

此文件中的设置在程序启动时读入，并且从不由Wireshark写入。

Wireshark在 表A.1“配置文件和文件夹概述”中 列出的目录中搜索插件 。按列出的顺序搜索它们。

如果你开始一个新的捕获并且没有为它指定文件名，Wireshark使用这个目录来存储该文件; 请参见 第4.7节“捕获文件和文件模式” 。

如果你开始一个新的捕获并且没有为它指定文件名，Wireshark使用这个目录来存储该文件; 请参见 第4.7节“捕获文件和文件模式” 。

wireshark能抓取局域网所有ip吗

Wireshark可以抓取局域网内的所有IP数据包，只要Wireshark正在监听该局域网所连接的网络接口，就可以捕获所有通过该网络接口传输的数据包，包括局域网内的所有IP数据包。

要抓取局域网内的所有IP数据包，您需要先打开Wireshark，并选择要监听的网络接口。这可以通过单击Wireshark窗口中的“Capture Options”按钮来完成，然后选择您想要捕获的网络接口，例如以太网接口、无线接口等。

然后，您可以单击Wireshark窗口中的“Start”按钮开始抓取数据包。Wireshark将捕获通过该网络接口传输的所有数据包，包括局域网内的所有IP数据包。如果您想要进一步过滤数据包以查看特定的IP流量，可以使用Wireshark的过滤器功能来完成。

需要注意的是，Wireshark是一个功能强大的网络抓包工具，需要一定的网络和技术知识才能使用。如果您不熟悉网络和数据包的工作原理，建议在使用Wireshark之前先了解相关知识，并谨慎操作。

如何通过wireshark抓取某个指定网站的数据包?

运行wireshark软件，选择无线网络连接，点击start，进入捕包界面，在filter（过滤器）的方框中，输入http。 点击右侧的apply（应用），就能捕获指定的网站数据包。

用wireshark软件捕获http数据包的方法步骤：

1、运行wireshark软件，进入主界面。

2、在左侧网卡区域，点击选择网卡。目前这里是无线网卡，就选择无线网络连接。

3、点击start，进入捕包界面。

4、在filter（过滤器）的方框中，输入http。

5、 点击右侧的apply（应用）。此时，进入捕包状态。若在浏览器中浏览网页，就能捕获其中的http数据包。