wireshark如何过滤syn

Ⅰ 使用WireShark搜索想要的包（简约版）

我们通过tcpmp从服务器抓下来的包，通过WireShark打开后，是一堆原始数据。如何在成千上万条原始数据中找到我们想要的数据呢？本文章提供两个最常用的方法供大家参考。

WireShark提供两个搜索栏供大家使用，一个搜索栏在主页面正上方，中间有“应用显示过滤器的字样”，我们可以在这个搜索栏中输入例如来源Ip，目标Ip，端口等条件来检索数据，下面写几个最常用的:

所有ip为10.45.1.1发送给端口为80或者80端口发出的tcp包：
ip.src == 10.45.1.1 && tcp.port == 80

所有TCP长度大于7byte的包：
tcp.len >= 7

所有http协议方法为POST，Path为/api/getUser.do的包
http.request.method=="POST" && http.request.uri == "/api/getUser.do"

显示包含TCP SYN标志的封包:
tcp.flags.syn == 0x02
tcp.window_size == 0 && tcp.flags.reset != 1

WireShark还允许精准的字符串搜索，在MAC系统中，COMMAND+F就能把字符串搜索给调出来，我们选择下过滤器，一般我都会选择字符串过滤器。

对于这个搜索栏，有多个选项，第一个选项最重要，选择分组字节流才能将所有包内容一网打尽，如果知道自己包的编码，也一定要选择正确的编码才行，然后填写完字符串后就能搜索了：

搜索完成后，页面会自动跳转到搜索结果条上去，搜索结果那一行会变灰，然后我们右键选择搜索出来的那一行，然后选择追踪流-》TCP流，就能看到传输的内容了：

PS，如果在MAC本机抓包，WireShark会提示没有网卡访问权限，这个时候执行下面的命令即可：

sudo chmod 777 /dev/bpf*

Ⅱ wireshark抓包

一、  wireshark是捕获机器上的某一块网卡的网络包 ，当你的机器上有多块网卡的时候，你需要选择一个网卡。

例如，我测试本地连接，直接选择“本地连接”，进入如下界面

二、 WireShark 主要分为这几个界面

1. Display Filter(显示过滤器)，  用于过滤

2. Packet List Pane(封包列表)， 显示捕获到的封包， 有源地址和目标地址，端口号。 颜色不同，代表不同的协议，你也可以修改这些显示颜色的规则，  View ->Coloring Rules.

3. Packet Details Pane(封包详细信息), 显示封包中的字段

        Frame:   物理层的数据帧概况

        Ethernet II: 数据链路层以太网帧头部信息

        Internet Protocol Version 4: 互联网层IP包头部信息

        Transmission Control Protocol:  传输层T的数据段头部信息，此处是TCP

        Hypertext Transfer Protocol:  应用层的信息，此处是HTTP协议

4. Dissector Pane(16进制数据)

5. Miscellanous(地址栏，杂项)

wireshark顶部显示过滤器

使用过滤是非常重要的， 初学者使用wireshark时，将会得到大量的冗余信息，在几千甚至几万条记录中，以至于很难找到自己需要的部分。搞得晕头转向。

过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。

过滤器有两种，

一种是显示过滤器，就是主界面上那个，用来在捕获的记录中找到所需要的记录

一种是捕获过滤器，用来过滤捕获的封包，以免捕获太多的记录。 在Capture -> Capture Filters 中设置

保存过滤

1）设置显示过滤器，按如下步骤进行编辑

过滤表达式的规则

表达式规则

1. 协议过滤

比如TCP，只显示TCP协议。

2. IP 过滤

比如 ip.src ==192.168.1.102 显示源地址为192.168.1.102，

ip.dst==192.168.1.102, 目标地址为192.168.1.102

3. 端口过滤

tcp.port ==80,  端口为80的

tcp.srcport == 80,  只显示TCP协议的愿端口为80的。

4. Http模式过滤

http.request.method=="GET",   只显示HTTP GET方法的。

5. 逻辑运算符为 AND/ OR

常用的过滤表达式

三、 wireshark与对应的OSI七层模型

TCP包的具体内容

从下图可以看到wireshark捕获到的TCP包中的每个字段。

四、实例分析TCP三次握手过程

看到这， 基本上对wireshak有了初步了解， 现在我们看一个TCP三次握手的实例

三次握手过程为

这图我都看过很多遍了， 这次我们用wireshark实际分析下三次握手的过程。

打开wireshark, 打开浏览器输入 http://www.cr173.com

在wireshark中输入http过滤， 然后选中GET /tankxiao HTTP/1.1的那条记录，右键然后点击"Follow TCP Stream",

这样做的目的是为了得到与浏览器打开网站相关的数据包，将得到如下图

图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这说明HTTP的确是使用TCP建立连接的。

第一次握手数据包

客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。 如下图

第二次握手的数据包

服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的I S N加1以.即0+1=1, 如下图

第三次握手的数据包

客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图:

就这样通过了TCP三次握手，建立了连接

Ⅲ wireshark 抓包的过滤条件（关于syn包）

看下面红色的，如果不知道字段怎么设置，就点击，左下角会显示该字段的过滤

比如tcp.flags.ack==1就会过滤出所有的ack包。

Ⅳ wireshark如何按照域名过滤

在抓包之前设置抓包过滤器，然后start或者在vm当中，在纯净无干扰的网络环境下抓。不是所有包我都要抓取：Capture->Options->Capture Filter。

需要掌握filter使用语法。如果不想掌握，可以尝试基于进程抓包分析工具QPA，QPA搜索使用方式是直接在筛选框中输入关键词，然后回车即显示相关目标报文。

工作流程

（1）确定Wireshark的位置。如果没有一个正确的位置，启动Wireshark后会花费很长的时间捕获一些与自己无关的数据。

（2）选择捕获接口。一般都是选择连接到Internet网络的接口，这样才可以捕获到与网络相关的数据。否则，捕获到的其它数据对自己也没有任何帮助。

Ⅳ wireshark抓包时对数据包中内容怎么过滤

启动wireshark，选复择网卡，开始抓包 在过制滤里面输入oicq 就把QQ的包都过滤出来了 按照源和目的地址的区分，可以且仅可以分析出你抓包对象的QQ号码 QQ现在使用密文发送，抓不出来聊天的内容了

Ⅵ wireshark过滤tcp syn报文

tcp.flags == 0x0002

Ⅶ 如何过滤wireshark重传包

1. 过滤源ip、目的ip。在wireshark的过滤规则框Filter中输入过滤条件。如查找内目的地址容为192.168.101.8的包，ip.dst==192.168.101.8；查找源地址为ip.src==1.1.1.1；

2. 端口过滤。如过滤80端口，在Filter中输入，tcp.port==80，这条规则是把源端口和目的端口为80的都过滤出来。使用tcp.dstport==80只过滤目的端口为80的，tcp.srcport==80只过滤源端口为80的包；

3. 协议过滤比较简单，直接在Filter框中直接输入协议名即可，如过滤HTTP的协议；

4. http模式过滤。如过滤get包，http.request.method=="GET",过滤post包，http.request.method=="POST"；

5. 连接符and的使用。过滤两种条件时，使用and连接，如过滤ip为192.168.101.8并且为http协议的，ip.src==192.168.101.8 and http。

Ⅷ 怎么用wireshark抓包网址过滤

你是捕获的时候过滤吗？在开始的对话框里输入，用tcpmp的规则，wireshark的文档里有。
如果是显示的时候过滤，可以用向导的，用的是wireshark自己的过滤规则