Wireshark捕获过滤规则实验

Wireshark过滤规则实验

Wireshark是世界上最流行的网络分析工具。这个强大的工具可以捕捉网络中的数据，并为用户提供关于网络和上层协议的各种信息。

与很多其他网络工具一样，Wireshark也使用pcap network library来进行封包捕捉。

Wireshark的优势：

- 安装方便。

- 简单易用的界面。

- 提供丰富的功能。

Wireshark的原名是Ethereal，新名字是2006年起用的。当时Ethereal的主要开发者决定离开他原来供职的公司，并继续开发这个软件。但由于Ethereal这个名称的使用权已经被原来那个公司注册，Wireshark这个新名字也就应运而生了。

捕获过滤器的使用

WireShark 捕获过滤语法

1. 过滤IP，如来源IP或者目标IP等于某个IP

例子:

ip src host 192.168.1.107 or ip dst host 192.168.1.107

或者

host 192.168.1.107 // 都能显示来源IP和目标IP

实验：1、确定本机IP地址为。

2、设置来源IP地址为本机IP地址的过滤语法并截两幅图：捕捉过滤器的设置图和抓包图，替换样图。（提示：可通过ping命令产生数据包并进行抓包实验）

捕捉过滤器的设置图

3、设置目的IP地址为本机IP地址的过滤语法并截两幅图：捕捉过滤器的设置图和抓包图，样图同上。

在此截两幅图：捕捉过滤器的设置图和抓包图

4、设置来源IP地址为本机IP地址，并且目的IP地址为邻居IP地址的过滤语法并截两幅图：捕捉过滤器的设置图和抓包图，样图同上。

在此截两幅图：捕捉过滤器的设置图和抓包图

2. 过滤端口

例子:

tcp port 23捕获TCP端口为23的封包，不管端口是源端的还是目的端

tcp dst port 3128捕获目的TCP端口为3128的数据包

udp src port 12328捕获源端TCP端口为12328的数据包

src portrange 2000-2500捕获源为UDP或TCP，并且端口号在2000至2500范围内的封包

实验：1、显示捕获的端口栏：步骤如下：

（1）在显示栏上面点击右键，选择column preference

（2）弹出如下界面

（3）点击add，增加一行

中选择为src port（unresolved），这样就增加了src port一栏。

最终得到的显示栏为：

（1）设置IP上外网，访问学校主页，设置捕获来源端口号为80的过滤语法并截两幅图：

捕捉过滤器的设置图和抓包图，替换样图。

捕捉过滤器的设置图

抓包图

（2）设置捕获端口号为80的过滤语法并截两幅图：捕捉过滤器的设置图和抓包图。

在此截两幅图：捕捉过滤器的设置图和抓包图

（3）设置捕获来源为UDP，并且端口号在1024至3000范围内的数据包的过滤语法并截两幅图：捕捉过滤器的设置图和抓包图。

在此截两幅图：捕捉过滤器的设置图和抓包图

3. 过滤协议

例子:

tcp

udp

arp

icmp

http

smtp

ftp

dns

ip

oicq

等等

注意：应用层的协议要通过端口号来设置捕获过滤器。排除arp包，如!arp 或者not arp

实验：1、设置捕获仅仅采用udp传输的数据包的过滤语法并截两幅图：捕捉过滤器的设置图和抓包图。

捕捉过滤器的设置图

抓包图

2、设置捕获仅仅采用icmp协议的数据包的过滤语法并截两幅图：捕捉过滤器的设置图和抓包图。

在此截两幅图：捕捉过滤器的设置图和抓包图

3、设置捕获仅仅采用icmp协议并且由本机发出的数据包的过滤语法并截两幅图：捕捉过滤器的设置图和抓包图。

在此截两幅图：捕捉过滤器的设置图和抓包图

4、思考：能否通过wireshark抓取到本机ping不通对方主机的数据包，通过设置捕获仅仅采用icmp协议并且由本机发出的数据包的过滤语法进行抓取。若捕获不到，再将捕获规则设置为仅仅采用arp协议并且由本机发出的数据包的过滤语法，若能抓取到，截两幅图：捕捉过滤器的设置图和抓包图。并解释出现这种现象的原因。

在此截两幅图：捕捉过滤器的设置图和抓包图