Язык фильтра отображения Wireshark позволяет вам управлять пакетами, отображаемыми платформой в данный момент. Обычно фильтры отображения используются для проверки наличия протокола или поля. Однако вы также можете использовать их для сравнения пакетов с помощью логических операторов, таких как “and” и “или”
Легко спутать фильтр отображения Wireshark с его захватом фильтр. В этой статье объясняется, как использовать фильтр отображения платформы на ПК и Mac. Также рассматривается разница между фильтрами отображения и фильтрами захвата в Wireshark.
Как использовать фильтр отображения в Wireshark на ПК с Windows
Использовать экранный фильтр Wireshark на ПК довольно просто. Платформа предоставляет поле в верхней части экрана, которое позволяет вам быстро объяснить, какие пакеты вы хотите отобразить. Обычно пакеты отображаются на основе следующего.
- Протокол
- Значения полей
- Наличие поля
- Сравнения между полями
Однако функциональность отображаемого поля допускает более сложное использование.
< p>Существует два метода использования фильтра отображения в Wireshark на ПК с Windows.
Способ № 1 – Прямой ввод с фильтром
Предполагая, что вы просто хотите отобразить протокол, выполните следующие действия.
- Найдите и щелкните панель инструментов фильтра отображения в Wireshark.
- Введите имя протокола на панели инструментов. Например, введите “tcp” если вы хотите отобразить все свои TCP-пакеты.
- Нажмите “Ввод” чтобы применить выбранный фильтр. Кроме того, вы можете нажать “Применить” после ввода выражения фильтра.
Теперь вы должны увидеть, что Wireshark отображает пакеты на основе выбранного вами фильтра. Все эти пакеты остаются внутри связанного с ними файла захвата. Фильтр отображения не изменяет содержимое файла захвата. Он отображает пакеты, относящиеся к примененному вами фильтру.
Если вы хотите удалить примененный фильтр, нажмите кнопку «Очистить». Он находится справа от панели инструментов фильтра отображения.
Способ № 2 – Панель статистики
Этот метод представляет собой способ применения фильтра, который не требует ввода непосредственно на панели инструментов фильтра отображения.
- Найдите раздел “Статистика” в верхнем меню и щелкните его.
- Выберите один из вариантов в раскрывающемся списке. Для этого пошагового руководства выберите “Конечные точки”
- Всплывающее окно Должно появиться окно -up, отображающее отчет конечной точки с указанием MAC-адресов. Щелкните правой кнопкой мыши один из адресов и выберите «Применить как фильтр».
- Нажмите “Выбрано”
Выбранный вами синтаксис автоматически вводится на панель инструментов фильтра отображения.
Как использовать фильтр отображения в Wireshark на Mac
Wireshark на Mac позволяет использовать фильтр отображения для отображения пакетов на основе набора параметров и выражений, включая протоколы, сравнения полей, значения полей и многое другое. Существует два способа использования фильтра отображения на Mac.
Способ №1 – Панель инструментов фильтра отображения
Следующие шаги позволяют отобразить простой протокол. Можно использовать различные операторы для создания более сложных фильтров, если вы хорошо разбираетесь в Wireshark. Выполните следующие действия для простого фильтра отображения протокола.
- Нажмите на панель инструментов фильтра отображения в верхней части экрана. Это текстовое поле рядом со словом “Фильтр”
- Введите название протокола и нажмите кнопку “Применить” кнопку.
Wireshark отображает каждый пакет, относящийся к введенному протоколу, который находится внутри ваш текущий фильтр захвата. Нажмите кнопку «Очистить» рядом с панелью инструментов фильтра отображения, чтобы удалить фильтр и снова отобразить все пакеты.
Способ № 2 – Панель статистики
Если вы не знаете точное выражение для фильтра, в некоторых случаях можно применить более простой метод. В следующем примере показано, как создать фильтр отображения с помощью конечной точки. Его также можно применять к нескольким другим типам выражений и протоколов. Выполните следующие действия, чтобы создать фильтр отображения конечной точки.
- Нажмите “Статистика” в верхней строке меню.
- Выберите “Конечные точки”
- Перейдите к нужной конечной точке для фильтрации во всплывающем окне щелкните правой кнопкой мыши и выберите «Применить как фильтр».
< /li>
- Выберите “Выбрано”
Вы должны увидеть, как Wireshark автоматически вводит синтаксис для вашего выбора на панели инструментов фильтра отображения. Платформа также будет отображать пакеты, относящиеся к выбранной вами конечной точке.
Дополнительные часто задаваемые вопросы
В чем разница между фильтром отображения и фильтром захвата ?
Wireshark позволяет использовать фильтры отображения и фильтры захвата для навигации по вашим пакетам. Эти фильтры легко спутать. Однако они служат разным целям и требуют использования разного синтаксиса.
Фильтр отображения используется, когда вы захватили все, что вам нужно, и хотите отобразить определенные пакеты для анализа.
Фильтры захвата более ограничены, чем фильтры отображения. Они уменьшают размер необработанного захвата пакетов и должны быть установлены до того, как вы начнете процесс захвата пакетов. Обычно вы используете фильтры захвата, если хотите применить команду для возврата или удаления определенных типов пакетов из перехвата. Фильтры захвата нельзя изменить в процессе захвата.
Фильтры отображения и фильтры захвата также различаются с точки зрения используемого синтаксиса.
С фильтром отображения вы используете комбинацию логических фильтров и операторов для создания логического описания фильтра, который вы хотите создать. Примеры включают “==” и “!=” что означает равный и не равный соответственно.
Фильтры захвата используют более сложный синтаксис, сочетающий маски, смещения байтов и шестнадцатеричные значения с логическим языком фильтрации. Это делает фильтры захвата менее интуитивными, чем фильтры отображения, хотя это также означает, что вы можете использовать их для применения более сложных фильтров.
Применить фильтры
Функция фильтра отображения Wireshark позволяет вам запустите быструю проверку пакетов в вашем захвате. Он идеально подходит для больших снимков, когда вам нужно избавиться от всего шума на экране, чтобы вы могли анализировать определенные протоколы или поля. Wireshark предоставляет подробную информацию о различных модификаторах фильтров и выражениях для фильтра отображения через свою вики.
Но теперь мы хотим услышать от вас. Как часто вам приходится анализировать определенные пакеты в Wireshark? Как вы думаете, использование фильтра отображения поможет вам стать более эффективным при использовании платформы? Расскажите нам, что вы думаете о фильтре отображения Wireshark в комментариях ниже.
