针对IP端口对的Wireshark过滤（显示过滤器）

Question

我想知道如何在wireshark中为ip端口制作显示过滤器。

因此，例如我想过滤ip-port 10.0.0.1:80，所以它会找到所有与10.0.0.1:80的通信，但不能从10.0.0.1:235到某些ip的通信端口80.

Answer 1

我想过滤掉任何支持端口的协议的IP端口对。无论是tcp还是udp。该ip-por对可以在任何端口上联系任何其他ip。

(ip.src == XXX.XXX.XXX.XXX && (tcp.srcport == YYY || udp.srcport == YYY)) || (ip.dst == XXX.XXX.XXX.XXX && (tcp.dstport == YYY || udp.dstport == YYY)将匹配：

• 从IPv4即将所有数据包处理XXX.XXX.XXX.XXX和TCP或UDP端口YYY;
• 所有打包到IPv4地址XXX.XXX.XXX.XXX和TCP或UDP端口YYY的数据包;

这听起来好像是你想要的。 （如果这不是你想要的，你必须更加具体和准确地对待你想要的东西。）

Answer 2

IP协议没有定义类似端口的东西。 IP之上的两个协议具有TCP和UDP端口。

如果你想显示从一个侧面的80端口发送一个TCP连接的唯一的包，并给对方的80端口，你可以用这个显示过滤器：

tcp.srcport==80 && tcp.dstport==80 

类似，您可以定义一个过滤器用于UDP通信。您可以拉近与addtional条件过滤器一样

ip.srcaddr==1.2.3.4 

或

ip.addr==55.66.77.88 

你甚至可以使用C风格的操作& &和||以及括号来构建复杂的过滤器。

(ip.addr==128.100.1.1 && tcp.port==80) || (ip.addr==10.1.2.1 && udp.port==68) 

你真正想过滤的是你的决定。

Answer 3

试试这个过滤器：

(ip.src==10.0.0.1 and tcp.srcport==80) or (ip.dst==10.0.0.1 and tcp.dstport==80) 

既然你已经有了两个端口和TCP/IP包个IP，你需要指定正是你想要的源和目标插座。