当前位置：首页 > news >正文

三十五：Wireshark的捕获过滤器

news 2026/2/7 10:35:25

Wireshark 是一个广泛使用的网络协议分析工具，主要用于捕获和分析网络流量。它支持丰富的协议分析，并提供了多种过滤方式，以便用户在大量数据中精确地找到自己关注的内容。在Wireshark中，过滤器可以分为两类：捕获过滤器和显示过滤器。本文将重点介绍 Wireshark 的 捕获过滤器，以及它们如何帮助用户提高抓包效率。

什么是捕获过滤器？

捕获过滤器（Capture Filter）用于在网络流量捕获阶段就过滤掉不感兴趣的数据包。与显示过滤器不同，捕获过滤器是在数据包抓取时就进行过滤，确保只有符合特定条件的数据包被捕获并保存到文件中。捕获过滤器通常用于限制Wireshark捕获的网络数据量，减少对系统性能的影响，并更有针对性地捕获用户关心的数据。

捕获过滤器的工作原理

在Wireshark启动抓包前，用户可以设置捕获过滤器。Wireshark将基于过滤条件来决定哪些数据包应当被捕获，哪些不应被捕获。捕获过滤器是基于 BPF（Berkeley Packet Filter） 语法的，因此它们在使用时有一些语法和格式上的限制。

过滤器的格式

Wireshark 的捕获过滤器使用与 Linux 或 BSD 系统中常用的 BPF 语法相似的规则。常见的捕获过滤器语法包括：

协议过滤：只捕获特定协议的流量，例如 TCP、UDP、ICMP 等。
- 例：tcp 捕获所有 TCP 数据包。
- 例：icmp 捕获所有 ICMP 数据包。
源或目的 IP 地址：只捕获源或目的 IP 地址为指定地址的数据包。
- 例：src host 192.168.1.1 捕获源 IP 为 192.168.1.1 的数据包。
- 例：dst host 10.0.0.1 捕获目的 IP 为 10.0.0.1 的数据包。
端口号过滤：通过指定端口号过滤捕获流量。
- 例：port 80 捕获所有涉及端口 80（HTTP）的数据包。
- 例：src port 443 捕获源端口为 443（HTTPS）的数据包。
网络接口：只在指定的网络接口上捕获数据包。
- 例：ether host 00:1a:2b:3c:4d:5e 捕获与指定 MAC 地址相关的数据包。
逻辑运算符：使用 and、or 和 not 等逻辑运算符组合多个条件。
- 例：src host 192.168.1.1 and dst port 80 捕获源 IP 为 192.168.1.1 且目的端口为 80 的数据包。

捕获过滤器示例

仅捕获TCP流量：
```
tcp
```
捕获来自指定IP的数据包：
```
src host 192.168.0.1
```
捕获目的端口为443（HTTPS）的流量：
```
dst port 443
```
捕获来自IP地址为192.168.0.1且目的端口为80的HTTP流量：
```
src host 192.168.0.1 and dst port 80
```
捕获ICMP流量并排除掉特定的主机：
```
icmp and not host 192.168.0.1
```

捕获过滤器与显示过滤器的区别

Wireshark 的 显示过滤器 用于在捕获的流量被加载到Wireshark界面后，对数据进行筛选。显示过滤器可以在数据捕获后进行更加复杂的分析，但它并不会影响数据包捕获的范围。而 捕获过滤器 是在数据捕获时就应用的，它限制了Wireshark所捕获的数据包的种类和数量，能够有效减少系统负担。

捕获过滤器与显示过滤器的比较

特点	捕获过滤器	显示过滤器
过滤作用	捕获阶段，决定哪些数据包将被保存	数据加载后筛选数据包
过滤精度	过滤条件较少，语法简单	支持更复杂的过滤条件和逻辑
性能影响	减少捕获的数据量，节省资源	不影响捕获，主要用于后续分析
使用时机	捕获数据时	数据包捕获后，分析过程中

捕获过滤器的局限性

捕获过滤器的语法比较简洁，因此只能支持有限的过滤功能，不能像显示过滤器那样支持复杂的条件和多维度筛选。
捕获过滤器的设置必须在开始捕获之前进行，不能在数据捕获过程中动态调整。

捕获过滤器的使用场景

限制数据量：在高流量的网络环境中，捕获所有数据包可能会导致性能问题。使用捕获过滤器可以仅捕获感兴趣的流量，如特定的协议或IP地址的流量，减少不必要的负担。
故障排除：在排查网络故障时，使用捕获过滤器可以帮助快速定位问题。例如，如果怀疑某个设备发出的ARP请求有问题，可以设置过滤器仅捕获ARP包，迅速查看相关数据。
安全分析：对于安全专家而言，捕获过滤器能够帮助过滤出特定的攻击流量，如特定端口或协议的流量，从而集中精力分析潜在的威胁。

总结

Wireshark的捕获过滤器是一个非常有用的工具，它能够帮助用户在数据捕获阶段就减少不必要的数据包，从而提高分析效率。通过使用合适的捕获过滤器，用户可以快速聚焦于他们关心的流量，减少对计算机资源的占用，并确保捕获的数据足够精确，满足分析需求。

对于网络分析人员和安全专家来说，熟练掌握捕获过滤器的使用可以大大提高工作效率，优化数据分析流程。如果需要进行更复杂的筛选，Wireshark的显示过滤器也是不可或缺的补充。

一：浏览器发起 HTTP 请求的典型场景_浏览器如何发送用户名密码的请求-CSDN博客

二：基于ABNF语义定义的HTTP消息格式-CSDN博客

三:网络为什么要分层：OSI模型与TCP/IP模型-CSDN博客

四：HTTP的诞生：它解决了哪些网络通信难题？-CSDN博客

五：评估Web架构的七大关键属性-CSDN博客

六：从五种架构风格推导出HTTP的REST架构-CSDN博客

七：如何用Chrome的Network面板分析HTTP报文-CSDN博客

八：URI的基本格式及其与URL的区别-CSDN博客

九：为什么要对URI进行编码？-CSDN博客

十：详解HTTP的请求行-CSDN博客

十一：HTTP 状态码详解：解读每一个响应背后的意义-CSDN博客

十二：HTTP错误响应码：理解与应对-CSDN博客

十三：如何管理跨代理服务器的长短连接？-CSDN博客

十四：HTTP消息在服务器端的路由-CSDN博客

十五：代理服务器转发消息时的相关头部-CSDN博客

十六：请求与响应的上下文-CSDN博客

十七：Web内容协商与资源表述-CSDN博客

十八：HTTP包体的传输方式（1）：定长包体-CSDN博客

十九：HTTP包体的传输方式（2）：不定长包体-CSDN博客

二十：HTML Form表单提交时的协议格式-CSDN博客

二十一：断点续传与多线程下载是如何做到的？-CSDN博客

二十二：Cookie的格式与约束-CSDN博客

二十三：Session及第三方Cookie的工作原理-CSDN博客

二十四：浏览器为什么要有同源策略？-CSDN博客

二十五：如何“合法”地跨域访问？-CSDN博客

二十六：Web条件请求的作用-CSDN博客

二十七：Web缓存的工作原理-CSDN博客

二十八：Web缓存新鲜度的四种计算方式-CSDN博客

二十九：复杂的Cache-Control头部解析-CSDN博客

三十：在 Web 中什么样的响应才会被缓存？-CSDN博客

三十一：HTTP多种重定向跳转方式的差异-CSDN博客

三十二：HTTP 协议的基本认证-CSDN博客

三十三：Wireshark的基本用法-CSDN博客

三十四：如何通过DNS协议解析域名？-CSDN博客