如何在Wireshark中按IP地址过滤？

Question

我试过dst==192.168.1.101但只得到:

Neither "dst" nor "192.168.1.101" are field or protocol names.

The following display filter isn't a valid display filter:
dst==192.168.1.101

Answer 1

比赛目的地: ip.dst == x.x.x.x

匹配来源: ip.src == x.x.x.x

匹配: ip.addr == x.x.x.x

Answer 2

在Wireshark中过滤IP地址:

(1)单IP过滤:

ip.addr == XXXX

ip.src == XXXX

ip.dst == XXXX

(2)基于逻辑条件的多IP过滤:

或条件:

(ip.src == 192.168.2.25)||(ip.dst == 192.168.2.25)

和条件:

(ip.src == 192.168.2.25)&&(ip.dst == 74.125.236.16)

Answer 3

您还可以将过滤器限制为仅部分IP地址.

EG过滤123 . .*你可以使用123.*.*.*.使用ip.addr == 123.0.0.0/8和可以实现类似的效果/16.

请参阅WireShark手册页(过滤器)并查找无类别域间路由(CIDR)表示法.

...斜杠后面的数字表示用于表示网络的位数.

Answer 4

如果您只关心特定机器的流量,请使用捕获过滤器,您可以在其下设置Capture -> Options.

host 192.168.1.101

Wireshark将仅捕获发送或接收的数据包192.168.1.101.这具有需要较少处理的益处,这降低了重要分组被丢弃(丢失)的机会.

Answer 5

尝试

ip.dst == 172.16.3.255

Answer 6

实际上由于某种原因,wireshark在显示过滤器和捕获过滤器上使用两种不同类型的过滤器语法.显示过滤器仅用于查找某些流量,仅用于显示目的.它就像你对所有交通一样感兴趣但是现在你只想看到具体的.

但如果您只对certian流量感兴趣并且根本不关心其他流量,那么您可以使用捕获过滤器.

显示过滤器的语法是(如前所述)

ip.addr = x.x.x.x 或 ip.src = x.x.x.x 或 ip.dst = x.x.x.x

但上面的语法在捕获过滤器中不起作用,以下是过滤器

主持人xxxx

在wireshark wiki页面上查看更多示例