wireshark 跟踪数据流

 

• 过滤ip地址：

ip.addr==192.168.1.1   //只显示IP为192.168.1.1的数据包
not ip.src==192.168.1.1  // 不显示源ip为192.168.1.1的数据包

• 过滤端口：

tcp.port==80   ///只显示端口为80的数据包
tcp.srcport >=1 //只显示源端口大于等于1数据包

• 过滤协议：

tcp  //只显示tcp数据包
udp || tcp || icmp  //只显示udp、tcp、icmp相关协议的数据包

3.1 跟踪数据流

Wireshark的跟踪数据流功能可以将捕获的数据包排好顺序使之容易查看。

右键捕获的数据包并选择追踪流，假设选择HTTP流，HTTP流就会在一个单独的窗口中显示。

 

我们可以注意到窗口中的文字以两种颜色显示，红色用来标明从源地址前往目标地址的流量，而蓝色用来区分从目标地址到源地址的流量。

 

 

3.2 协议分层统计

有时你需要分析捕获文件中协议的分布情况，比如获知TCP协议的百分比，UDP的百分比，使用Wireshark的统计->协议分级就可以实现。

 

 

 

3.3 查看端点

有时在分析数据流量时，需要分析特定端点的流量，Wireshark的统计->端点给出了每个端点的有用统计数据，包括地址，传输发送数据包，字节数等。

Wireshark-端点统计

可以通过右键端点的方式来查找特定端点的数据包。

Wireshark-查找特定端点

3.4 查看会话

Wireshark的统计->会话显示了网络中的会话中的端点地址，以及发送收到的数据包和字节数。

Wireshark-查看会话

Wireshark的统计中还可以展示数据包长度汇总，I/O图表，流量图等。