Wireshark 基本文法,基本使用方法,及包過慮規則:
1.過濾IP,如來源IP或者目标IP等于某個IP
例子:
ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107
或者
ip.addr eq 192.168.1.107 // 都能顯示來源IP和目标IP
linux上運作的wireshark圖形視窗截圖示例,其他過慮規則操作類似,不再截圖。
ip.src eq 10.175.168.182
截圖示例:
提示: 在Filter編輯框中,收入過慮規則時,如果文法有誤,框會顯紅色,如正确,會是綠色。
2.過濾端口
例子:
tcp.port eq 80 // 不管端口是來源的還是目标的都顯示
tcp.port == 80
tcp.port eq 2722
tcp.port eq 80 or udp.port eq 80
tcp.dstport == 80 // 隻顯tcp協定的目标端口80
tcp.srcport == 80 // 隻顯tcp協定的來源端口80
udp.port eq 15000
過濾端口範圍
tcp.port >= 1 and tcp.port <= 80
3.過濾協定
例子:
tcp
udp
arp
icmp
http
smtp
ftp
dns
msnms
ip
ssl
oicq
bootp
等等
排除arp包,如!arp 或者 not arp
4.過濾MAC
太以網頭過濾
eth.dst == A0:00:00:04:C5:84 // 過濾目标mac
eth.src eq A0:00:00:04:C5:84 // 過濾來源mac
eth.dstA0:00:00:04:C5:84
eth.dstA0-00-00-04-C5-84
eth.addr eq A0:00:00:04:C5:84 // 過濾來源MAC和目标MAC都等于A0:00:00:04:C5:84的
less than 小于 < lt
小于等于 le
等于 eq
大于 gt
大于等于 ge
不等 ne
5.包長度過濾
例子:
udp.length == 26 這個長度是指udp本身固定長度8加上udp下面那塊資料包之和
tcp.len >= 7 指的是ip資料包(tcp下面那塊資料),不包括tcp本身
ip.len == 94 除了以太網頭固定長度14,其它都算是ip.len,即從ip本身到最後
frame.len == 119 整個資料包長度,從eth開始到最後
eth —> ip or arp —> tcp or udp —> data
6.http模式過濾
例子:
http.request.method == “GET”
http.request.method == “POST”
http.request.uri == “/img/logo-edu.gif”
http contains “GET”
http contains “HTTP/1.”
// GET包
http.request.method == “GET” && http contains “Host: “
http.request.method == “GET” && http contains “User-Agent: “
// POST包
http.request.method == “POST” && http contains “Host: “
http.request.method == “POST” && http contains “User-Agent: “
// 響應包
http contains “HTTP/1.1 200 OK” && http contains “Content-Type: “
http contains “HTTP/1.0 200 OK” && http contains “Content-Type: “
一定包含如下
Content-Type:
7.TCP參數過濾
tcp.flags 顯示包含TCP标志的封包。
tcp.flags.syn == 0x02 顯示包含TCP SYN标志的封包。
tcp.window_size == 0 && tcp.flags.reset != 1
8.包内容過濾
tcp[20]表示從20開始,取1個字元
tcp[20:]表示從20開始,取1個字元以上
注: 些兩虛線中的内容在我的wireshark(linux)上測試未通過。
tcp[20:8]表示從20開始,取8個字元
tcp[offset,n]
udp[8:3]81:60:03 // 偏移8個bytes,再取3個數,是否與後面的資料相等?
udp[8:1]==32 如果我猜的沒有錯的話,應該是udp[offset:截取個數]=nValue
eth.addr[0:3]00:06:5B
例子:
判斷upd下面那塊資料包前三個是否等于0x20 0x21 0x22
我們都知道udp固定長度為8
udp[8:3]20:21:22
判斷tcp那塊資料包前三個是否等于0x20 0x21 0x22
tcp一般情況下,長度為20,但也有不是20的時候
tcp[8:3]20:21:22
如果想得到最準确的,應該先知道tcp長度
matches(比對)和contains(包含某字元串)文法
ip.src192.168.1.107 and udp[8:5] matches “\x02\x12\x21\x00\x22″ ------???--------
ip.src192.168.1.107 and udp contains 02:12:21:00:22
ip.src192.168.1.107 and tcp contains “GET”
udp contains 7c:7c:7d:7d 比對payload中含有0x7c7c7d7d的UDP資料包,不一定是從第一位元組比對。
--------------------------------------不了解Begin------------------------------------------------------------------------------------
例子:
得到本地qq登陸資料包(判斷條件是第一個包==0x02,第四和第五個包等于0x00x22,最後一個包等于0x03)
0x02 xx xx 0x00 0x22 … 0x03
如何拼寫過慮條件???
udp[11:2]==00:00 表示指令編号為00:00
udp[11:2]00:80 表示指令編号為00:80
當指令編号為00:80時,QQ号碼為00:00:00:00
得到msn登陸成功賬号(判斷條件是”USR 7 OK “,即前三個等于USR,再通過兩個0x20,就到OK,OK後面是一個字元0x20,後面就是mail了)
USR xx OK [email protected]
正确
msnms and tcp and ip.addr192.168.1.107 and tcp[20:] matches “^USR\x20[\x30-\x39]+\x20OK\x20[\x00-\xff]+”
-------------------------------------不了解End---------------------------------------------------------------------------------------
9.dns模式過濾
10.DHCP
注意:DHCP協定的檢索規則不是dhcp/DHCP, 而是bootp
以尋找僞造DHCP伺服器為例,介紹Wireshark的用法。在顯示過濾器中加入過濾規則,
顯示所有非來自DHCP伺服器并且bootp.type0x02(Offer/Ack/NAK)的資訊:
bootp.type0x02 and not ip.src==192.168.1.1
11.msn
msnms && tcp[23:1] == 20 // 第四個是0x20的msn資料包
msnms && tcp[20:1] >= 41 && tcp[20:1] <= 5A && tcp[21:1] >= 41 && tcp[21:1] <= 5A && tcp[22:1] >= 41 && tcp[22:1] <= 5A
msnms && tcp[20:3]”USR” // 找到指令編碼是USR的資料包
msnms && tcp[20:3]”MSG” // 找到指令編碼是MSG的資料包
tcp.port == 1863 || tcp.port == 80
如何判斷資料包是含有指令編碼的MSN資料包?
1)端口為1863或者80,如:tcp.port == 1863 || tcp.port == 80
2)資料這段前三個是大寫字母,如:
tcp[20:1] >= 41 && tcp[20:1] <= 5A && tcp[21:1] >= 41 && tcp[21:1] <= 5A && tcp[22:1] >= 41 && tcp[22:1] <= 5A
3)第四個為0x20,如:tcp[23:1] == 20
4)msn是屬于TCP協定的,如tcp
MSN Messenger 協定分析
http://blog.csdn.net/Hopping/archive/2008/11/13/3292257.aspx
MSN 協定分析
http://blog.csdn.net/lzyzuixin/archive/2009/03/13/3986597.aspx
更詳細的說明
<<wireshark過濾表達式執行個體介紹>>
http://www.csna.cn/viewthread.php?tid=14614
Wireshark 主界面的操作菜單中英對比
http://www.csna.cn/viewthread.php?tid=9645&extra=page=1
-
wireshark字元串過慮文法字元
如下内容轉自:http://www.csna.cn/viewthread.php?tid=14614
類似正規表達式的規則。
1、wireshark基本的文法字元
\d 0-9的數字
\D \d的補集(以是以字元為全集,下同),即所有非數字的字元
\w 單詞字元,指大小寫字母、0-9的數字、下劃線
\W \w的補集
\s 空白字元,包括換行符\n、回車符\r、制表符\t、垂直制表符\v、換頁符\f
\S \s的補集
. 除換行符\n外的任意字元。 在Perl中,“.”可以比對新行符的模式被稱作“單行模式”
.* 比對任意文本,不包括回車(\n)? 。 而,[0x00-0xff]* 比對任意文本,包括\n
[…] 比對[]内所列出的所有字元
[^…] 比對非[]内所列出的字元
—————————————————————————————-
2、定位字元 所代表的是一個虛的字元,它代表一個位置,你也可以直覺地認為“定位字元”所代表的是某個字元與字元間的那個微小間隙。
^ 表示其後的字元必須位于字元串的開始處
$ 表示其前面的字元必須位于字元串的結束處
\b 比對一個單詞的邊界
\B 比對一個非單詞的邊界
—————————————————————————————-
3、重複描述字元
{n} 比對前面的字元n次
{n,} 比對前面的字元n次或多于n次
{n,m} 比對前面的字元n到m次
? 比對前面的字元0或1次
-
比對前面的字元1次或多于1次
-
比對前面的字元0次或式于0次
—————————————————————————————-
4、and or 比對
and 符号 并
or 符号 或
例如:
tcp and tcp.port==80
tcp or udp
—————————————————————————————-
5、wireshark過濾比對表達式執行個體
5.1、搜尋按條件過濾udp的資料段payload(數字8是表示udp頭部有8個位元組,資料部分從第9個位元組開始udp[8:])
udp[8]==14 (14是十六進制0x14)比對payload第一個位元組0x14的UDP資料包
udp[8:2]==14:05 可以udp[8:2]==1405,且隻支援2個位元組連續,三個以上須使用冒号:分隔表示十六進制。 (相當于 udp[8]==14 and udp[9]==05,1405是0x1405)
udp[8:3]==22:00:f7 但是不可以udp[8:3]==2200f7
udp[8:4]==00:04:00:2a,比對payload的前4個位元組0x0004002a
而udp contains 7c:7c:7d:7d 比對payload中含有0x7c7c7d7d的UDP資料包,不一定是從第一位元組比對。
udp[8:4] matches “\x14\x05\x07\x18″
udp[8:] matches “^\x14\x05\x07\x18\x14″
5.2、搜尋按條件過濾tcp的資料段payload(數字20是表示tcp頭部有20個位元組,資料部分從第21個位元組開始tcp[20:])
tcp[20:] matches “^GET [ -~]HTTP/1.1\x0d\x0a”
等同http matches “^GET [ -~]HTTP/1.1\x0d\x0a”
tcp[20:] matches “^GET (.?)HTTP/1.1\x0d\x0a”
tcp[20:] matches “^GET (.?)HTTP/1.1\x0d\x0a[\x00-\xff]Host: (.?)pplive(.?)\x0d\x0a”
tcp[20:] matches “^GET (.?)HTTP/1.1\x0d\x0a[\x00-\xff]Host: “
tcp[20:] matches “^POST / HTTP/1.1\x0d\x0a[\x00-\xff]\x0d\x0aConnection: Keep-Alive\x0d\x0a\x0d\x0a”
檢測SMB頭的smb标記,指明smb标記從tcp頭部第24byte的位置開始比對。
tcp[24:4] == ff:53:4d:42
檢測SMB頭的smb标記,tcp的資料包含十六進制ff:53:4d:42,從tcp頭部開始搜尋此資料。
tcp contains ff:53:4d:42
tcp matches “\xff\x53\x4d\x42″
檢測tcp含有十六進制01:bd,從tcp頭部開始搜尋此資料。
tcp matches “\x01\xbd”
檢測MS08067的RPC請求路徑
tcp[179:13] == 00:5c:00:2e:00:2e:00:5c:00:2e:00:2e:00
\ . . \ . .
5.3、其他
http.request.uri matches “.gif ” 匹 配 過 濾 H T T P 的 請 求 U R I 中 含 有 ” . g i f ” 字 符 串 , 并 且 以 . g i f 結 尾 ( 4 個 字 節 ) 的 h t t p 請 求 數 據 包 ( ” 比對過濾HTTP的請求URI中含有”.gif”字元串,并且以.gif結尾(4個位元組)的http請求資料包( ”比對過濾HTTP的請求URI中含有”.gif”字元串,并且以.gif結尾(4個位元組)的http請求資料包(是正規表達式中的結尾表示符)
注意差別:http.request.uri contains “.gif ” 與 此 不 同 , c o n t a i n s 是 包 含 字 符 串 ” . g i f ” 與此不同,contains是包含字元串”.gif ”與此不同,contains是包含字元串”.gif”(5個位元組)。比對過濾HTTP的請求URI中含有”.gif ” 字 符 串 的 h t t p 請 求 數 據 包 ( 這 裡 ”字元串的http請求資料包(這裡 ”字元串的http請求資料包(這裡是字元,不是結尾符)
eth.addr[0:3]==00:1e:4f 搜尋過濾MAC位址前3個位元組是0x001e4f的資料包。