wireshark捕获过滤器与显示过滤器[终稿].doc

wireshark捕获过滤器与显示过滤器[终稿]Wireshark捕获过滤器与显示过滤器使用Wireshark时最常见的问题,是当您使用默认设置时,会得到大量冗余信息,以至于很难找到自己需要的部分。过犹不及。这就是为什么过滤器会如此重要。它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。捕捉过滤器:用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。-显示过滤器:在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。-那么我应该使用哪一种过滤器呢,两种过滤器的目的是不同的。捕捉过滤器是数据经过的第一层过滤器,它用于控制捕捉数据的数量,以避免产生过大的日志文件。显示过滤器是一种更为强大(复杂)的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。两种过滤器使用的语法是完全不同的。我们将在接下来的几页中对它们进行介绍:(Linux)或者Winpcap(Windows)库开发的软件一样,比如著名的TCPdump。捕捉过滤器必须在开始捕捉前设置完毕,这一点跟显示过滤器是不同的。设置捕捉过滤器的步骤是:-选择capture->options。-填写"capturefilter"栏或者点击"capturefilter"按钮为您的过滤器起一个名字并保存,以便在今后的捕捉中继续使用这个过滤器。-点击开始(Start)进行捕捉。语法:ProtocolDirectionHost(s)ValueLogicalOperationsOtherexpression例子:(协议):可能的值:ether,fddi,ip,arp,rarp,,lat,sca,moprc,mopdl,,则默认使用所有支持的协议。Direction(方向):可能的值:src,dst,srcanddst,srcordst如果没有特别指明来源或目的地,则默认使用"srcordst"作为关键字。例如,""与""是一样的。<brHost(s):,port,host,,则默认使用"host"关键字。例如,""与""相同。LogicalOperations(逻辑运算):可能的值:not,and,("not")具有最高的优先级。或("or")和与("and")具有相同的优先级,运算时从左至右进行。例如,"nottcpport3128andtcpport23"与"(nottcpport3128)andtcpport23"相同。"nottcpport3128andtcpport23"与"not(tcpport3128andtcpport23)"不同。</br例子:tcpdstport3128显示目的TCP端口为3128的封包。。。srcportrange2000-2500显示来源为UDP或