針對IP端口對的Wireshark過濾（顯示過濾器）

Question

我想知道如何在wireshark中爲ip端口製作顯示過濾器。

因此，例如我想過濾ip-port 10.0.0.1:80，所以它會找到所有與10.0.0.1:80的通信，但不能從10.0.0.1:235到某些ip的通信端口80.

Answer 1

我想過濾掉任何支持端口的協議的IP端口對。無論是tcp還是udp。該ip-por對可以在任何端口上聯繫任何其他ip。

(ip.src == XXX.XXX.XXX.XXX && (tcp.srcport == YYY || udp.srcport == YYY)) || (ip.dst == XXX.XXX.XXX.XXX && (tcp.dstport == YYY || udp.dstport == YYY)將匹配：

• 從IPv4即將所有數據包處理XXX.XXX.XXX.XXX和TCP或UDP端口YYY;
• 所有打包到IPv4地址XXX.XXX.XXX.XXX和TCP或UDP端口YYY的數據包;

這聽起來好像是你想要的。 （如果這不是你想要的，你必須更加具體和準確地對待你想要的東西。）

Answer 2

IP協議沒有定義類似端口的東西。 IP之上的兩個協議具有TCP和UDP端口。

如果你想顯示從一個側面的80端口發送一個TCP連接的唯一的包，並給對方的80端口，你可以用這個顯示過濾器：

tcp.srcport==80 && tcp.dstport==80 

類似，您可以定義一個過濾器用於UDP通信。您可以拉近與addtional條件過濾器一樣

ip.srcaddr==1.2.3.4 

或

ip.addr==55.66.77.88 

你甚至可以使用C風格的操作& &和||以及括號來構建複雜的過濾器。

(ip.addr==128.100.1.1 && tcp.port==80) || (ip.addr==10.1.2.1 && udp.port==68) 

你真正想過濾的是你的決定。

Answer 3

試試這個過濾器：

(ip.src==10.0.0.1 and tcp.srcport==80) or (ip.dst==10.0.0.1 and tcp.dstport==80) 

既然你已經有了兩個端口和TCP/IP包個IP，你需要指定正是你想要的源和目標插座。