Wireshark

Wireshark是一个开源的网路数据包分析软件，支持实时捕获数据包和离线分析。

简介

数据包列表点击某个数据包，会显示详情。

名称	描述
Frame	显示数据包概览信息。如数据包大小、接口类型、接口ID、时间等。
Ethernet II	显示第二层数据链路层信息，设备MAC地址 Src, Dst
Internet Protocol Version 4	显示第三层网络层信息，
Internet Control Message Protocol
Transmission Control Protocol

启动捕获时，会显示捕获到的数据包列表。查看或设置颜色规则：视图》着色规则。数据包列表每列含义：

Wireshark有两种过滤器：捕获过滤器和显示过滤器。

名称	别名	符号	描述	示例
eq	any_eq	==	Equal (any if more than one)	ip.src == 10.0.0.5
ne	all_ne	!=	Not equal (all if more than one)	ip.src != 10.0.0.5
	all_eq	===	Equal (all if more than one)	ip.src === 10.0.0.5
	any_ne	!==	Not equal (any if more than one)	ip.src !== 10.0.0.5
gt		>	Greater than	frame.len > 10
lt		<	Less than	frame.len < 128
ge		>=	Greater than or equal to	frame.len ge 0x100
le		<=	Less than or equal to	frame.len <= 0x20
contains			Protocol, field or slice contains a value	sip.To contains "a1762"
matches		~	Protocol or text field matches a Perl-compatible regular expression	http.host matches "acme\\.(org\|com\|net)"

使用逻辑运算符可以将过滤器进行组合。

名称	运算符	描述	示例
and	&&	Logical AND	ip.src==10.0.0.5 and tcp.flags.fin
or	\|\|	Logical OR	ip.src==10.0.0.5 or ip.src==192.1.1.1
xor	^^	Logical XOR	tr.dst[0:3] == 0.6.29 xor tr.src[0:3] == 0.6.29
not	!	Logical NOT	not llc
[…]		Subsequence	eth.src[0:3] == 00:00:83
in		Set Membership	http.request.method in {"HEAD", "GET"}

函数	描述	示例
upper	转化为大写字母
lower	转化为小写字母	`lower(http.server) contains "apache"`
len	Returns the byte length of a string or bytes field.
count	Returns the number of field occurrences in a frame.	`count(ip.addr) > 2`
string	Converts a non-string field to a string.
max	Return the maximum value for the arguments.
min	Return the minimum value for the arguments.
abs	Return the absolute value for the argument.