wireshark本身提供很多过滤方法,常用的比如根据ip、mac、通信协议等方式来过滤报文。但我一直觉得下面描述的这种过滤方式十分好用,灵活、简便且适用范围广。
这种方式可以过滤报文中的任何一个字节,以dhcp报文为例:
我只想统计discover报文数量,那就针对packet type这一个字段过滤。该字段在42个字节后面1个字节(即第43字节),discover报文类型是1,所以我们只需要输入frame[42:1]==01就好了。
?
offer给用户分配IP,我需要查看分配192.168.130.x这个网段的报文,所以可以针对ip的前三个字节进行过滤。这个ip前三个字节在报文第58字节后面1个字节,因此过滤条件是frame[58:3]==c0:a8:82。
注意:因为是过滤三个字节,因此frame[58:3]这里是3不是上面例子中的1。
?
原文地址:https://www.cnblogs.com/luoyingcai/p/11142209.html
时间: 2024-10-05 19:02:28