wireshark如何过滤TCP三次握手包等类似的无负载内容的包？

2014-06-27 09:30:51 4.2k 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

Wireshark下载、Wireshark使用、Wireshark抓包、ARP抓包、ICMP抓包、TCP抓包、HTTP抓包混杂模式概述：混杂模式就是接收所有经过网卡的数据包，包括不是发给本机的包，即不验证MAC地址。默认就是混杂模式。普通模式概述：普通模式下网卡只接收发给本机的包（包括广播包）传递给上层程序，其它的包一律丢弃。一般来说，混杂模式不会影响网卡的正常工作，多在网络监听工具上使用，默认是混杂模式。四次挥手，断开连接1.服务端FIN ：Seq = a , Ack = b #我想断开连接2.客户端ACK：Seq = b, Ack = a+1 #收到，断开吧。阅读详情

用wireshark捕获数据包时，总会有一堆TCP三次握手包（ACK/SYN），比如下图：

由于我要分析数据包的负载数据内容，因此这些无真实数据内容的包对我来说是干扰包，因为太多了，导致程序分析起来很慢，请问能在wireshark里直接将这些包过滤过吗？3Q

据我所知，我只能根据协议进行过滤数据包，而这些ACK/SYN包怎么过滤呢？

...全文

Wireshark抓包分析核心：OSI分层过滤与TCP三次握手精解网络协议分析的本质是理解数据在OSI七层模型中的逐层封装与传递过程。Wireshark并非关键词搜索工具，而是基于帧、以太网、IP、TCP到HTTP的多层字段进行布尔裁剪的协议解码器。掌握`tcp.flags.syn==1 and tcp.flags.ack==0`等底层过滤语法，能精准定位SYN丢包、TTL衰减、窗口为零等典型故障；结合三次握手六次独立帧的可观测性，可将‘连接超时’类问题快速收敛至物理层连通性、网络层路由、传输层状态或应用层语义。本文聚焦Wireshark原生能力，覆盖Windows/ma 阅读详情

小敏纸

非技术区 15,445 成员 58,111 内容

+ 关注 + 加入社区

切换为时间正序

ForestDB 2014-07-31

打赏
举报

右键。。。。

ForestDB 2014-07-30

打赏
举报

包上点邮件，follow tcp stream，试试。

两只特立独行的猫 2014-07-29

打赏
举报

试试 not http and tcp.len>0

majia2011 2014-06-27

打赏
举报

乱是因为你的过滤方式不对，直接按ip和端口过滤下就行了。 syn包是不能过滤掉的，这是分析的关键点，呵呵呵

mujiok2003 2014-06-27

打赏
举报

syn的话，一个session中就那么几个，不会导致你的分析很慢。 ack的话，打开Nagle算法，可以减少单独ACK的数目。 stackoverflow上也有人在问： http://stackoverflow.com/questions/8859740/how-to-filter-out-tcp-fast-retransmission-in-wireshark

小敏纸 2014-06-27

打赏
举报

引用 8 楼 zilaishuichina 的回复:

[quote=引用 7 楼 lanxuezaipiao 的回复:] [quote=引用 3 楼 zilaishuichina 的回复:] tcp.flags.syn == 0 and tcp.flags.ack == 0

这个好像过滤不了哦，试过了[/quote] 实测有效童叟无欺，只不过普通包里面同样会有ACK lz的需求应该是希望把有内容的数据包过滤出来吧，没内容的包不要可以tcp.len > 0[/quote] 对，这个试了下管用，非常感谢

zilaishuichina 2014-06-27

打赏
举报

引用 7 楼 lanxuezaipiao 的回复:

[quote=引用 3 楼 zilaishuichina 的回复:] tcp.flags.syn == 0 and tcp.flags.ack == 0

这个好像过滤不了哦，试过了[/quote] 实测有效童叟无欺，只不过普通包里面同样会有ACK lz的需求应该是希望把有内容的数据包过滤出来吧，没内容的包不要可以tcp.len > 0

小敏纸 2014-06-27

打赏
举报

引用 3 楼 zilaishuichina 的回复:

tcp.flags.syn == 0 and tcp.flags.ack == 0

这个好像过滤不了哦，试过了

小敏纸 2014-06-27

打赏
举报

引用 1 楼 mujiok2003 的回复:

syn的话，一个session中就那么几个，不会导致你的分析很慢。 ack的话，打开Nagle算法，可以减少单独ACK的数目。 stackoverflow上也有人在问： http://stackoverflow.com/questions/8859740/how-to-filter-out-tcp-fast-retransmission-in-wireshark

非常感谢，对我帮助很大，另外wireshark好像不能打开或关闭nagle算法呀

小敏纸 2014-06-27

打赏
举报

引用 2 楼 majia2011 的回复:

乱是因为你的过滤方式不对，直接按ip和端口过滤下就行了。 syn包是不能过滤掉的，这是分析的关键点，呵呵呵

我不需要分析ACK/SYN包，另外我需要不同的ip和端口，因此不能按此过滤

zybjtu 2014-06-27

打赏
举报

一般根据ip和端口过滤

zilaishuichina 2014-06-27

打赏
举报

tcp.flags.syn == 0 and tcp.flags.ack == 0

wireshark如何过滤TCP三次握手包等类似的无负载内容的包？

相关推荐