案例:本地向 http://192.168.40.134:31204/some-api,如何过滤?
http and ip.addr == 192.168.40.134 and tcp.port == 31204
语句分析:
很多时候,你写的表达式背景色变成红色,说明表达式错误了,例如下图:http and ip.port == 31204
写出ip.port这个语句,往往是对传输协议理解不清晰。😅
ip是网络层的协议,port是传输层tcp或者udp中使用的。例如你写tcp.port == 80,udp.port ==3000这样是没问题的。但是port不能跟在ip的后面,如果你不清楚怎么写,你可以选择wireshark的智能提示。
智能提示会提示所有可用的表达式。
一般我们的过滤都是基于协议,ip地址或者端口号进行过滤的,
直接输入协议名进行过滤
基于端口的过滤一般就两种
== 等于
!= 不等于
> 大于
< 小于
>= 大于等于
<= 小于等于
ip.addr == 192.168.2.4
ip.addr == 192.168.2.4 and tcp.port == 2145 and !tcp.port == 3389
tcp.flags.fin==1 只过滤关闭连接的包
tcp.flags.syn==1 只过滤建立连接的包
tcp.flags.reset==1 只过滤出tcp连接重置的包
Statistics -> endpoints
Statistics -> Conversations
在会使用上述四个过滤方式之后,就可以自由的扩展了
🏄🏄🏄🏄🏄🏄 ⛹️♀️⛹️♀️⛹️♀️⛹️♀️⛹️♀️⛹️♀️ 🏋️🏋️🏋️🏋️🏋️🏋️
http.request.method == GET # 基于http请求方式的过滤
ip.src == 192.168.1.4