这篇文章收集了一些wiresharkwireshark抓包以及看包的过滤语法

1.过滤IP，如来源IP或者目标IP等于某个IP
例子:

ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107 
//过滤源IP地址或者目标IP地址为192.168.1.107的包

或者

ip.addr eq 192.168.1.107 
//过滤IP地址为192.168.1.107的包，能显示来源IP和目标IP

2.过滤端口
例子:

tcp.port eq 80 // 过滤tcp端口为80的包，不管端口是来源的还是目标的都显示 
tcp.port == 80 // 过滤tcp端口为80的包，不管端口是来源的还是目标的都显示 
tcp.port eq 2722 // 过滤tcp端口为2722的包，不管端口是来源的还是目标的都显示 
tcp.port eq 80 or udp.port eq 80 // 过滤端口为80的TCP和UDP包，不管端口是来源的还是目标的都显示 
tcp.dstport == 80 // 只显tcp协议的目标端口80的包
tcp.srcport == 80 // 只显tcp协议的来源端口80的包
udp.port eq 15000 // 只显udp协议的端口80的包，不管端口是来源的还是目标的都显示

过滤端口范围

tcp.port >= 1 and tcp.port <= 80 //过滤tcp协议的端口在1~80范围内的包

3.过滤协议
例子:

tcp 
udp 
arp 
icmp 
http 
smtp 
ftp 
dns 
msnms 
ip 
ssl 
oicq 
bootp 

等等

排除arp包，如

!arp   或者   not arp

4.过滤MAC
太以网头过滤

eth.dst == A0:00:00:04:C5:84 // 过滤目标mac 
eth.src eq A0:00:00:04:C5:84 // 过滤来源mac 
eth.dst==A0:00:00:04:C5:84 // 过滤目标mac 
eth.dst==A0-00-00-04-C5-84 // 过滤目标mac 
eth.addr eq A0:00:00:04:C5:84 // 过滤来源MAC和目标MAC都等于A0:00:00:04:C5:84的包

less than 小于 < lt 
小于等于 le 
等于 eq 
大于 gt 
大于等于 ge 
不等 ne 

wireshark中根据MAC地址/物理地址过滤数据包，捕获过滤和显示过滤的语法如下：

wireshark捕获过滤中过滤MAC地址/物理地址

ether host 80:f6:2e:ce:3f:00   //过滤目标或源地址是80:f6:2e:ce:3f:00的数据包 
ether dst host 80:f6:2e:ce:3f:00   //过滤目标地址是80:f6:2e:ce:3f:00的数据包 
ether src host 80:f6:2e:ce:3f:00   //过滤源地址是80:f6:2e:ce:3f:00的数据包 

wireshark显示过滤中过滤MAC地址/物理地址

eth.addr== 80:f6:2e:ce:3f:00   //过滤目标或源地址是80:f6:2e:ce:3f:00的数据包 
eth.src== 80:f6:2e:ce:3f:00   //过滤源地址是80:f6:2e:ce:3f:00的数据包 
eth.dst== 80:f6:2e:ce:3f:00   //过滤目标地址是80:f6:2e:ce:3f:00的数据包

5.包长度过滤
例子:

udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和 
tcp.len >= 7   指的是ip数据包(tcp下面那块数据),不包括tcp本身 
ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后 
frame.len == 119 整个数据包长度,从eth开始到最后 

eth ---> ip or arp ---> tcp or udp ---> data

6.http模式过滤
例子:

http.request.method == "GET" 
http.request.method == "POST" 
http.request.uri == "/img/logo-edu.gif" 
http contains "GET" 
http contains "HTTP/1." 

// GET包

http.request.method == "GET" && http contains "Host: " 
http.request.method == "GET" && http contains "User-Agent: " 

// POST包

http.request.method == "POST" && http contains "Host: " 
http.request.method == "POST" && http contains "User-Agent: " 

// 响应包

http contains "HTTP/1.1 200 OK" && http contains "Content-Type: " 
http contains "HTTP/1.0 200 OK" && http contains "Content-Type: " 

一定包含如下

Content-Type: 

7.TCP参数过滤

tcp.flags 显示包含TCP标志的封包。 
tcp.flags.syn == 0x02     显示包含TCP SYN标志的封包。 
tcp.window_size == 0 && tcp.flags.reset != 1 

8.过滤内容

基本内容过滤语法：

tcp[20]表示从20开始，取1个字符 
tcp[20:]表示从20开始，取1个字符以上 
tcp[20:8]表示从20开始，取8个字符 
tcp[offset,n] 
udp[8:3]==81:60:03 // 偏移8个bytes,再取3个数，是否与==后面的数据相等？ 
udp[8:1]==32   如果我猜的没有错的话，应该是udp[offset:截取个数]=nValue 
eth.addr[0:3]==00:06:5B 

例子：
判断upd下面那块数据包前三个是否等于0x20 0x21 0x22
我们都知道udp固定长度为8

udp[8:3]==20:21:22

 

判断tcp那块数据包前三个是否等于0x20 0x21 0x22
tcp一般情况下，长度为20,但也有不是20的时候

tcp[8:3]==20:21:22

 
如果想得到最准确的，应该先知道tcp长度

matches(匹配)和contains(包含某字符串)语法

ip.src==192.168.1.107 and udp[8:5] matches "\\x02\\x12\\x21\\x00\\x22" 
ip.src==192.168.1.107 and udp contains 02:12:21:00:22 
ip.src==192.168.1.107 and tcp contains "GET"

 
udp contains 7c:7c:7d:7d 匹配payload中含有0x7c7c7d7d的UDP数据包，不一定是从第一字节匹配。

例子:
得到本地qq登陆数据包(判断条件是第一个包==0x02,第四和第五个包等于0x00x22,最后一个包等于0x03)
0x02 xx xx 0x00 0x22 ... 0x03
正确

oicq and udp[8:] matches "^\\x02[\\x00-\\xff][\\x00-\\xff]\\x00\\x22[\\x00-\\xff]+\\x03$" 
oicq and udp[8:] matches "^\\x02[\\x00-\\xff]{2}\\x00\\x22[\\x00-\\xff]+\\x03$" // 登陆包 
oicq and (udp[8:] matches "^\\x02[\\x00-\\xff]{2}\\x03$" or tcp[8:] matches "^\\x02[\\x00-\\xff]{2}\\x03$") 
oicq and (udp[8:] matches "^\\x02[\\x00-\\xff]{2}\\x00\\x22[\\x00-\\xff]+\\x03$" or tcp[20:] matches "^\\x02[\\x00-\\xff]{2}\\x00\\x22[\\x00-\\xff]+\\x03$")

 

不单单是00:22才有QQ号码,其它的包也有,要满足下面条件(tcp也有，但没有做):

oicq and udp[8:] matches "^\\x02[\\x00-\\xff]+\\x03$" and !(udp[11:2]==00:00) and !(udp[11:2]==00:80) 
oicq and udp[8:] matches "^\\x02[\\x00-\\xff]+\\x03$" and !(udp[11:2]==00:00) and !(udp[15:4]==00:00:00:00) 

说明:
udp[15:4]==00:00:00:00 表示QQ号码为空
udp[11:2]==00:00 表示命令编号为00:00
udp[11:2]==00:80 表示命令编号为00:80
当命令编号为00:80时，QQ号码为00:00:00:00

得到msn登陆成功账号(判断条件是"USR 7 OK ",即前三个等于USR，再通过两个0x20，就到OK,OK后面是一个字符0x20,后面就是mail了)
USR xx OK mail@hotmail.com
正确

msnms and tcp and ip.addr==192.168.1.107 and tcp[20:] matches "^USR\\x20[\\x30-\\x39]+\\x20OK\\x20[\\x00-\\xff]+" 9. 

9.dns模式过滤

10.过滤DHCP
以寻找伪造DHCP服务器为例，介绍Wireshark的用法。在显示过滤器中加入过滤规则，
显示所有非来自DHCP服务器并且bootp.type==0x02（Offer/Ack）的信息：

bootp.type==0x02 and not ip.src==192.168.1.1 

11.过滤msn

msnms && tcp[23:1] == 20 // 第四个是0x20的msn数据包 
msnms && tcp[20:1] >= 41 && tcp[20:1] <= 5A && tcp[21:1] >= 41 && tcp[21:1] <= 5A && tcp[22:1] >= 41 && tcp[22:1] <= 5A 
msnms && tcp[20:3]=="USR" // 找到命令编码是USR的数据包 
msnms && tcp[20:3]=="MSG" // 找到命令编码是MSG的数据包 
tcp.port == 1863 || tcp.port == 80

 
如何判断数据包是含有命令编码的MSN数据包?
1)端口为1863或者80,如:tcp.port == 1863 || tcp.port == 80
2)数据这段前三个是大写字母,如:
tcp[20:1] >= 41 && tcp[20:1] <= 5A && tcp[21:1] >= 41 && tcp[21:1] <= 5A && tcp[22:1] >= 41 && tcp[22:1] <= 5A
3)第四个为0x20,如:tcp[23:1] == 20
4)msn是属于TCP协议的,如tcp

MSN Messenger 协议分析
http://blog.csdn.net/Hopping/archive/2008/11/13/3292257.aspx

MSN 协议分析
http://blog.csdn.net/lzyzuixin/archive/2009/03/13/3986597.aspx

Update：后面有一篇文章更加详细的介绍了过滤语法，详见wireshark过滤表达式实例介绍

从上一篇文章 DHCPv6概述 中介绍我们已经知道DHCPv6有Stateful和Stateless两种方式，这篇文章我们就来详细介绍一下这两种方式。

有状态DHCPv6方式：
客户端通过 DHCPv6 方式获取地址和其他网络配置信息（例如DNS、NIS、SNTP服务器等参数）。有状态DHCPv6方式可以通过DHCPv6四步交互和DHCPv6两步交互来实现。

无状态DHCPv6方式：
客户端通过DHCPv6方式获取网络配置信息(不包括地址)。

以下介绍DHCPv6的各种交互方式：

一、Stateful DHCPv6 - 四步交互

DHCPv6-Client              DHCPv6-Server 
      |        (1)Solicit        | 
      |------------------------->| 
      |       (2)Advertise       | 
      |<-------------------------| 
      |        (3)Request        | 
      |------------------------->| 
      |         (4)Reply         | 
      |<-------------------------| 

有状态DHCPv6方式-四步交互地址 分配过程:
1)DHCPv6客户端发送Solicit报文，请求DHCPv6服务器为其分配IPv6地址和网络配置参数。
2)如果Solicit报文中没有携带Rapid Commit选项，或Solicit报文中携带Rapid Commit选项，但服务器不支持快速分配过程，则DHCPv6服务器回复Advertise报文，通知客户端可以为其分配的地址和网络配置参数。
3)如果 DHCPv6 客户端接收到多个服务器回复的Advertise报文，则根据Advertise报文中的服务器优先级等参数，选择其中一台服务器，并向该服务器发送Request报文，请求服务器确认为其分配地址和网络配置参数。
4)DHCPv6服务器回复Reply报文，确认将地址和网络配置参数分配给客户端使用。

DHCPv6服务器分配给客户端的IPv6地址/前缀具有一定的租借期限。租借期限由有效生命期决定(renew rebind)。

Renew

DHCPv6-Client       DHCPv6-Server
      |     (1)Renew      |
   T1 |------------------>|
      |     (2)Reply      |
      |<------------------|

Rebind

DHCPv6-Client            DHCPv6-Server
      |        (1)Renew        |
   T1 |----------------------->|
      |            .           |
      |            .           |
      |            .           |
   T2 |        (2)Rebind       | 
      |----------------------->|
      |        (3)Reply        | 
      |<-----------------------|

DHCPv6客户端会在T2时，向所有 DHCPv6 服务器组播发送Rebind报文请求更新租约。
地址租约：T1=0.5(首选生命期Preferred Lifetime的一半)，T2=0.8(向所有DHCPv6服务器组播发送Rebind报文请求更新租约)

有状态DHCPv6方式- 两步交互

DHCPv6-Client                               DHCPv6-Server 
      | (1)Solicit(cotains a Rapid Commit option) | 
      |------------------------------------------>| 
      |                (2)Reply                   | 
      |<------------------------------------------| 

二、有状态DHCPv6方式- 两步交互地址 分配过程:
1)DHCPv6客户端在发送的Solicit报文中携带Rapid Commit选项，标识客户端希望服务器能够快速为其分配地址和网络配置参数。
2)如果DHCPv6服务器支持快速分配地址，则直接返回Reply报文，为客户端分配IPv6地址和其他网络配置参数。
注：两步交互常用于网络中只有一个DHCPv6服务器的情况, DHCPv6客户端在发送的Solicit消息中携带Rapid Commit选项!

三、DHCPv6无状态方式
无状态DHCPv6服务主要是配合基于路由器公告的无状态地址自动配置方式使用， DHCPv6 客户端希望从DHCPv6服务器获取通过路由器公告不能获得的配置参数，如DNS服务器地址、域名等信息，客户端IPv6地址仍然通过路由器公告方式生成，并不希望DHCPv6服务器分配地址。
在实现上，DHCPv6客户端选择了服务器以后，向服务器发送INFORMATION-REQUEST报文请求提供相关配置参数，服务器收到请求回应以REPLY报文提供请求的配置参数发送给客户端。无状态DHCPv6服务允许和有状态DHCPv6服务同时使用，DHCPv6服务器根据客户端的请求类型决定不同的应答方式。

注：Stateless-used if another methed of assigning IPv6 address is preferred over DHCPv6。
Link-local 地址可用于邻居发现协议（neighbor discovery protocol）和无状态自动配置进程。DHCPv6无状态一般只分DNS、Domain等参数信息，不分地址，而RADVD是分地址，网关用的。

DHCPv6无状态配置过程

DHCPv6-Client                                DHCPv6-Server 
      |                                            | 
      |        Infomation-request:                 |
      |        includes an Option Request option   |
      |------------------------------------------->|
      |        Reply:                              |
      |        includes the requested options      | 
      |<-------------------------------------------|

DHCPv6 无状态配置的具体过程为：
客户端以组播的方式向DHCPv6服务器发送Information-request报文，该报文中携带Option Request选项，指定客户端需要从服务器获取的配置参数。服务器收到Information-request报文后，为客户端分配网络配置参数，并单播发送Reply报文将网络配置参数返回给客户端。
客户端检查Reply报文中提供的信息，如果与Information-request报文中请求的配置参数相符，则按照Reply报文中提供的参数进行网络配置；否则，忽略该参数。如果接收到多个Reply报文，客户端将选择最先收到的Reply报文，并根据该报文中提供的参数完成客户端无状态配置.

IPv6协议具有地址空间巨大的特点，但同时长达128比特的 IPv6 地址又要求高效合理的地址自动分配和管理策略。

IPv6无状态（stateless）地址配置协议是目前广泛采用的IPv6地址自动配置方式。配置了该协议的主机只需相邻路由器开启IPv6路由公告（Router Advertisement）功能，即可以根据公告报文包含的前缀信息自动配置本机地址。但无状态地址配置方案中路由器并不记录所连接的IPv6主机的具体地址信息，可管理性差。对于互联网服务提供商（ISP）来说，也没有相关的规范指明如何向路由器自动分配IPv6前缀，所以在部署IPv6网络时，只能采用手动配置的方法为路由交换设备配置IPv6地址。

DHCPv6 是动态主机配置协议（DHCP）的 IPv6 版本，协议基本规范由RFC3315定义。相对于 IPv6 无状态地址自动配置协议，DHCPv6属于一种有状态（stateful）地址自动配置协议。在有状态地址配置过程中， DHCPv6 服务器分配一个完整的 IPv6 地址给主机，并提供DNS服务器地址和域名等其它配置信息，这中间可能通过中继代理转交DHCPv6报文，而且最终服务器能把分配的IPv6地址和客户端的绑定关系记录在案，从而增强了网络的可管理性。

DHCPv6 服务器也能提供无状态DHCPv6服务，即 DHCPv6 服务器不分配IPv6地址，仅需向主机提供DNS服务器地址和域名等其它配置信息，主机IPv6地址仍然通过路由器公告方式自动生成，这样配合使用就弥补了IPv6无状态地址自动配置的缺陷。DHCPv6协议还提供了DHCPv6前缀代理的扩展功能，上游路由器可以自动为下游路由器分派地址前缀，从而实现了层次化网络环境中IPv6地址的自动规划，解决互联网提供商（ISP）的IPv6网络部署问题。