Wireshark使用指南之显示过滤器

最新推荐文章于 2025-07-21 13:26:12 发布
原创 最新推荐文章于 2025-07-21 13:26:12 发布 · 3.5k 阅读 · 5
标签
#wireshark
本文详细介绍了Wireshark的各类过滤器使用方法，包括协议过滤器、应用过滤器、字段存在过滤器、特有的过滤器等，以及如何使用这些过滤器进行精确的数据包筛选，适用于网络分析和故障排查。

开发板推荐：天空星STM32F407VET6开发板

超高性价比 STM32主控 | 超高主频 | 一板兼容百芯 | 比赛神器 | 沉金彩色丝印

点击查看

Wireshark使用指南之显示过滤器

一.协议过滤器
arp:显示所有ARP流量，包括免费ARP，ARP请求和ARP应答。
ip
ipv6
tcp

二.应用过滤器
bootp:显示所有DHCP流量(基于BOOTP)；
dns:显示所有DNS流量，包括基于TCP传输和UDP的DNS请求和响应；
tftp:显示所有TFTP(简单文件传输协议)流量；
http:显示所有HTTP命令，响应和数据传输包。
icmp

三.字段存在过滤器
bootp.option.hostname 显示所有DHCP流量，包含主机名；
http.host 显示所有包含有HTTP主机名字段的HTTP包。该包通常是由客户端发送给一个web服务器的请求。
ftp.request.command 显示所有FTP命令数据，如USER,PASS,RETR命令。

四.特有的过滤器
tcp.analysis.flags 显示所有与TCP标识相关的包，包括丢包，重发或者零窗口标志；
tcp.analysis.zero_window 显示被标志的包，来表示发送方的缓冲空间已满；

五.识别字段名
过滤器中输入http.request.method 显示包含该字段的所有包；

六.过滤显示HTTP

通常分析一个HTTP包时，需要分未两个阶段，首先是通过TCP三次握手建立连接，然后再发生HTTP GET请求，才可连接到Web服务器。
过滤条件: HTTP || tcp.port == 80
当客户端与Web服务器通过TCP三次握手建立连接时，使用的是TCP协议的80端口。

开发板推荐：天空星STM32F407VET6开发板

超高性价比 STM32主控 | 超高主频 | 一板兼容百芯 | 比赛神器 | 沉金彩色丝印

点击查看
最低0.47元/天 解锁文章
网络安全系列-四十六: Wireshark的两种过滤器--捕获过滤器和显示过滤器
penriver的博客
03-04 2963
Wireshark提供两种过滤器，一种是捕获过滤器（Capture Filters），另一种是显示过滤器（Display Filters），两者的主要区别在于它们的应用范围和时间。 本文针对为什么Wireshark设计2种过滤器，两种过滤器的区别 及使用方法进行阐述。
WireShark过滤器
m0_49476241的博客
09-08 2319
No.：数据包顺序Time：数据包到达时间Source：数据包发送方地址：数据包接收方地址Protocol：通信协议Length：数据包大小Info：简要说明。
TCP 报文格式及TCP Flags
gyunling的专栏
04-16 3万+
（一）前言 TCP 是一个基于连接的四层协议，提供全双工地，可靠地传输系统。它能够保证数据被远程主机接收。并且能够为高层协议提供flow-controlled 服务。 （二）TCP 报文格式(rfc793) 各个Field说明： 源端口（Source Port）：长度为16 bits（2个字节）。源端口。 目的端口（Destination Port）：长...
过滤TCP包
ikisstherain的博客
10-18 1708
!(tcp.analysis.retransmission)
Wireshark显示过滤器的使用指南
u011186532的专栏
12-26 3066
显示过滤器是 Wireshark 的一项核心功能，用于过滤和筛选捕获到的流量。与捕获过滤器不同，显示过滤器作用于已经捕获的数据包，帮助用户在界面上隐藏不相关的数据包，仅显示满足特定条件的数据包。Wireshark 显示过滤器是分析捕获流量的关键工具，灵活的语法和强大的筛选功能能够帮助用户高效定位问题。显示过滤器的语法规则非常灵活，支持精确匹配协议、字段、值等。
网络抓包分析工具Wireshark的下载、安装和使用
热门推荐
微末观星
03-03 4万+
一、Wireshark下载 官网下载地址：https://www.wireshark.org/download.html，在谷歌浏览器地址栏输入官网网址 点击需要的版本就会开始下载安装包 二、Wireshark安装 双击下载的安装包Wireshark-win64-3.6.2.exe 默认点击：下一步 点击Noted 默认设置，点击：下一步 默认设置，点击下一步 修改安装路径，自定义，点击：下一步 默认设置，点击：下一步 默认设置，点击：Install 开始安装 安装过程中会提示安装Npca
25、Wireshark使用指南
最新发布
w7x8y9z的博客
07-21 236
本文详细介绍了Wireshark的使用方法，包括其主窗口组件功能、菜单操作、捕获和分析流程，以及各种实用功能如过滤器设置、协议解码、数据包标记和统计分析等。通过该指南，用户可以快速掌握Wireshark进行网络流量分析的核心技能，适用于网络调试、协议研究和教学辅助等场景。
python抓包 -- 用wireshark抓包、解析--scapy、PyShark
2501_91395209的博客
04-01 1177
对于复杂的网络分析任务，Sniff Master能大大提升工作效率，特别是其智能分析功能可以自动识别常见网络问题。Sniff Master特别适合网络工程师和安全研究人员使用，可以轻松捕获和分析各种网络协议数据。对于需要更专业抓包功能的用户，推荐使用Sniff Master工具。表示只显示ICMP协议且IP为指定地址的数据包。
TCP Analysis Flags 之 TCP Window Full
7ACE的博客
08-03 2600
实际在 TCP 分析中，关于的定义非常简单，如下，为本端发送端所发的 TCP 段大小超过对端接收端的接收窗口大小，受到对端接收窗口大小的限制，需注意的是这个标记是在发送端标记，而不是在接收端标记。具体的代码如下，总的来说这段代码的作用是检测 TCP 数据流中的“窗口已满”情况，即当前数据段刚好达到接收端宣告的窗口边界，检测到这种情况时，会设置相应的标志以供后续处理使用。*/=-1if(!lastack，定义为 Last seen ack for the reverse flow。
TCP Analysis Flags 之 TCP Keep-Alive
7ACE的博客
11-02 1653
实际在 TCP 分析中，关于和当 TCP 数据段大小为 0 或 1 时设置，当前序列号比下一个期望的序列号小 1 字节，并且没有设置 SYN、FIN 或 RST。替代。next expected sequence number，为 nextseq，定义为 highest seen nextseq。具体的代码如下，总的来说这段代码的作用是检测出 TCP 保活包，并对其进行适当的标记，以便 Wireshark 能够正确识别和显示这种特殊的 TCP 控制数据包，帮助分析长连接的保活状态。
TCP Analysis Flags 之 TCP ACKed unseen segment
7ACE的博客
08-24 3294
实际在 TCP 分析中，关于的定义非常简单，当为反方向设置了期望的下一个确认号并且它小于当前确认号时设置。具体的代码如下，涉及到 TCP 分析逻辑还是稍复杂，毕竟涉及到不同方向的 Seq 和 Ack Num 计算，其中还涉及零窗口恢复时候的的一个特殊场景。总之，代码通过识别和处理 TCP 数据流中的 “被 ACK 的丢失数据包” 情况，并调整变量来反映被 ACK 的最大序列号，从而准确跟踪分析 TCP 连接的状态。else {
TCP Analysis Flags 之 TCP Port numbers reused
7ACE的博客
09-04 3523
实际在 TCP 分析中，关于的定义非常简单，如下，针对 SYN 数据包(而不是SYN+ACK)，如果已经有一个使用相同 IP+Port 的会话，并且这个 SYN 的序列号与已有会话的 ISN 不同时设置。注意：官方文档此处说明的是 SYN，而非 SYN/ACK，和实际代码实现的却不一样，下述展开说明。具体的代码如下，主要作用是处理 SYN 以及 SYN/ACK 数据包，判断是新连接还是已有连接的重传，并相应地创建新会话或更新会话的序列号等，并设置相关标志位。
TCP Analysis Flags 之 TCP Previous segment not captured
7ACE的博客
07-10 2179
TCP Analysis Flags 之 TCP Previous segment not captured
wireshark使用
夏沫的杂物间
10-15 6465
Wireshark网络工具的一些操作分析及说明。。
TCP Analysis Flags 之 TCP Window Update
7ACE的博客
10-16 2327
实际在 TCP 分析中，关于TCP 段大小为零窗口大小非零，不等于之前的窗口大小，并且没有有效的 SACK 数据Seq Num 等于之前下一个期望的 Seq NumACK Num 等于之前的 LastACK Num，或者等于在响应 ZeroWindowProbe 时的下一个期望的 Seq NumSYN、FIN、RST 均未设置next expected sequence number，为 nextseq，定义为 highest seen nextseq。
wireshark不同颜色报文含义（报文颜色）
Dontla的博客
08-23 1万+
HSRP即热备份路由协议（Hot Standby Router Protocol），这条规则表示状态非active和standby。OSPF（Open Shortest Path First，开放式最短路径优先协议）的msg类型不是hello。条件中的各类协议的checksum异常，在PC上抓包时网卡的一些设置经常会使Wireshark显示此错误。即TCP解析出错，通常重传，乱序，丢包，重复响应都在此条规则的范围内。ICMP协议错误，协议的type字段值错误。HTTP协议，这是很简陋的识别方法。
抓取网络包与分析网络报文的相关记录
生于忧患，死于安乐
12-15 737
文章目录1. 前言2. 命令解析3. Wireshark使用3.1 工具简介3.2 界面理解3.3 过滤规则 1. 前言 写这篇文章主要目的是为了结合日志辅助分析网络状况,算是比较基础，这也方便初学者学习理解。 先来看一下它的简介：tcpdump 是一个运行在命令行下的抓包工具。它允许用户拦截和显示发送或收到过网络连接到该计算机的TCP/IP和其他数据包。tcpdump 适用于大多数的类Unix系...
wireshark学习——3.图形显示
WY_记录
08-10 5832
我们之前讲解的各种实用的表格虽然能够有效辅助我们的分析，但是如果想要更好的了解我们所分析的网络情况，则需要依靠Wireshark的图形功能来直观地展示出来。而我们这次课主要讲解Wireshark常用的一些图形界面。 首先介绍一下IO Graphs。这个窗口可以让我们对网络上的数据吞吐情况进行绘图。这样就可以很容易地发现数据吞吐的峰值，找出不同协议中的性能瓶颈，并且还可以用来比较实时的数据流。 ...
TCP Analysis Flags 之 TCP Dup ACK
7ACE的博客
11-16 1997
TCP 段大小为 0窗口大小非零且没有改变，或者有有效的 SACK 数据下一个期望的 Seq Num 和 LastACK Num 是非 0 的（即连接已经建立）没有设置 SYN、FIN、RST具体的代码如下，总的来说这段代码的用于准确检测 TCP 重复 ACK 的情况，并记录相关信息以支持后续的重传机制分析，是 TCP 可靠传输的重要组成部分。这段代码的主要逻辑如下，如果所有下述条件均满足，则认为该数据包是一个重复确认包。检查 TCP 段大小是否为 0；检查窗口大小是否不为 0；
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值