SỬ DỤNG BỘ LỌC CỦA WIRESHARK PHẦN 1

Wireshark có rất nhiều bộ lọc khác nhau. Và có một tài liệu khổng lồ dành cho các bộ lọc này. Tài liệu này không dễ hiểu. Tôi đã biên soạn Bộ lọc Wireshark thú vị nhất cho tôi – đối với người dùng mới làm quen, điều này có thể trở thành một cái gì đó giống như một tài liệu tham khảo cho các bộ lọc Wireshark. Nhân tiện, ở đây trong các bình luận bạn có thể chia sẻ các bộ lọc mà bạn thích – tôi sẽ thêm chúng vào danh sách này.

Hãy nhớ rằng Wireshark có bộ lọc hiển thị và bộ lọc chụp. Ở đây tôi xem xét các bộ lọc hiển thị được nhập trong cửa sổ chính của chương trình trong trường trên cùng bên dưới menu và các biểu tượng của các chức năng chính.

Để hiểu đầy đủ tầm quan trọng của các bộ lọc và ý nghĩa của chúng, cần phải hiểu cách thức hoạt động của mạng.

Một số bộ lọc được viết ở đây dưới dạng tổng quát và một số được làm như các ví dụ theo nghĩa đen. Hãy nhớ rằng trong mọi trường hợp, bạn có thể thay thế dữ liệu của mình, ví dụ, thay đổi số cổng thành bất kỳ sở thích nào của bạn và cũng làm tương tự với địa chỉ IP, địa chỉ MAC, giá trị thời gian, v.v.

Toán tử bộ lọc Wireshark
Các bộ lọc có thể có các giá trị khác nhau, ví dụ: nó có thể là một chuỗi, định dạng thập lục phân hoặc số.

Nếu một mục nhập không chính xác được tìm kiếm (phù hợp hơn cho các giá trị không phải là số) thì có chứa được sử dụng. Ví dụ: để hiển thị các gói TCP chứa phần mềm có ký tự là “http”, bạn cần có bộ lọc sau  tcp contains “http”

Toán tử được sử dụng để tìm giá trị chính xác. Hãy xem xét chúng:

Như bạn có thể thấy, có hai phiên bản, ví dụ, nếu chúng ta muốn chỉ ra rằng giá trị bộ lọc bằng với một cái gì đó, thì chúng ta có thể sử dụng == hoặc eq .

Các bộ lọc sử dụng toán hạng logic có thể được sử dụng để xây dựng các cấu trúc khá phức tạp, nhưng rõ ràng, việc sử dụng cùng một bộ lọc với các toán tử so sánh là lỗi. Ví dụ, như ở đây trong một nỗ lực để lọc không chỉ một cổng, mà là phạm vi của các cổng:

• tcp.port >= 8000 && tcp.port <=8180
  Nhưng thực tế, giá trị bộ lọc (trong trường hợp này là tcp.port ) bị ghi đè bởi giá trị cuối cùng, do đó, thay vì hành vi dự kiến, chúng tôi chỉ nhận được kết quả của phần cuối cùng, trong trường hợp này là
• tcp.port <= 8180