wireshark

1. 필터 쉽게 사용하기

 

Analyze > Display Filter Expression 통해서 사용할 수 있는 필터 목록 확인 가능

 

필터 목록이 나열, 검색도 가능

 

2. 디스플레이 필터 예시 보기

왼쪽 상단 리본모양 클릭 시 디스플레이 필터 예시 존재, 해당 메뉴를 참고하여 디스플레이 필터 가능

 

*. 자주 사용하는 필터 목록

디스플레이 필터	설명
ip.addr == 10.0.0.0	출발지나 목적지의 ip가 10.0.0.0인 경우 출력
ip.addr == 10.0.0.1 && ip.addr == 10.0.0.2	두 개의 정의된 IP 주소 모두 출력
http or arp	모든 http와 dns 프로토콜 출력
tcp.port == 4000	출발지나 목적지의 포트가 4000인 TCP 패킷 출력
tcp.flags.reset == 1	모든 TCP reset 플래그가 활성화된 패킷 출력
http.request	모든 HTTP GET 요청 패킷 출력
tcp contains traffic	‘traffic’라는 단어를 포함하는 TCP 패킷 출력 (특정 문자열이나 유저 이름을 출력할 때 효과적)
!(arp or icmp or dns)	괄호 내용을 모두 제외한 패킷을 출력
contains 33:27:58	헥스 값(0x33 0x27 0x58) 필터
tcp.analysis.retransmission	추적에서 모든 재전송을 표시 (느린 응용 프로그램 성능 및 패킷 손실을 추적 할 때 효과)

 

*. 웹 서버 침해사고 분석 필터링

웹 서버 침해사고 필터링	내용
http.request.method == "GET"	HTTP method가 GET인 문자열을 찾아라
http.request.method == "POST"	HTTP method가 POST인 문자열을 찾아라
http.user_agent == python	유저에이전트가 python인 문자열을 찾아라
http.user_agent != python	유저에이전트가 python이 아닌 문자열을 찾아라
http.x_forwarded_for	x_forwarded 필터
http.referer	referer 필터
http.host	host 필터
http.connection	Connection
http.content_encoding	Content-Encoding
http.content_length	Content length
http.content_type	Content-Type
http.cookie	Cookie
http.host == search.naver.com	도메인이 search.naver.com인 값을 찾아라