filter - Wireshark 显示过滤器;按位比较
问题描述
给定一个 pcap 文件,我想根据 ip.src 上的按位比较将数据包分成四组,只比较 IP 中的两个特定位。例如,我想将此比较应用于 IP 的第二个字节和最后几位。因此,比较将如下所示:
a = xxxxxxxx & 0x03 //It is 8bits. Hence a includes 000000xx
IF (a == 0x00) THEN set0
IF (a == 0x01) THEN set1
IF (a == 0x02) THEN set2
IF (a == 0x03) THEN set3
不幸的是,只有 bitwise_and 选项可用。而且我不能在这里对 IP 进行按位运算。有什么解决办法吗?
我想到的是使用以下命令四次,每次使用相应的显示过滤器。
tshark -r <infile> -Y "<display-filter>" -w <outfile>
解决方案
在 Wireshark 中,打开 PCAP 文件并使用显示过滤器,如下所示:
!(ip[12] & 0x01) and !(ip[12] & 0x02)
(ip[12] & 0x01) and !(ip[12] & 0x02)
!(ip[12] & 0x01) and (ip[12] & 0x02)
(ip[12] & 0x01) and (ip[12] & 0x02)
第一个匹配最后两位的 0b00,第二个 0b01,第三个 0b10,最后一个匹配 0b11。
如果您想要其他位,则最高有效位将是 0x04、0x08、0x10、0x20、0x40 和 0x80。"&" 与 bitwise_and 相同。
匹配每一个后,使用File -> Export Specified Packets并确保已标记选项Displayed 。这是一种根据需要将文件拆分为 4 组的方法。
推荐阅读
- sharepoint - 用于上传文件并复制到 Ms 团队的 Sharepoint API
- javascript - 有没有办法在画布上放置多个相同的功能
- mongodb - 迁移到 MongoDB Atlas 后,以前的用户无法进行身份验证
- python - 使用 Python 和 PostgreSQL 管理多个类别树
- python - 无法在 Ananconda 中创建新环境或安装库
- ruby-on-rails - ActiveRecord 任务在错误的环境中执行,无论何时
- java - 标记由非单词字符分隔的单词,单引号除外
- python - 使用 PyQt5 绘制正确的网格
- python - 重采样(boostrap)回归问题的连续数据数据集
- responsive-design - Chrome 响应式显示与 Firefox 不同