Näyttöfiltterit - Display filters

Wiresharkin näyttöfiltterit ovat kätevä työkalu, jonka avulla voit suodattaa ja etsiä tiettyjä paketteja tai tietoja verkkoliikenteestä. Voit syöttää hakusanat suoraan hakukenttään. Hakukenttä hyväksyy erilaisia hakuehtoja ja syntakseja.

• Voit etsiä tiettyjä protokollia kirjoittamalla protokollan nimen. Esimerkiksi kirjoittamalla "http" hakukenttään, näet vain HTTP-paketteja.
• Voit suodattaa tietyllä IP-osoitteella tai portilla käyttämällä IP-osoitteita tai porttinumeroita hakukentässä. Esimerkiksi kirjoittamalla "ip.addr == 192.168.0.1" näet vain paketit, joissa lähde- tai kohde-IP-osoite on 192.168.0.1.
• Voit käyttää loogisia operaattoreita, kuten "ja" (and) sekä "tai" (or) yhdistämään erilaisia hakuehtoja. Esimerkiksi "ip.addr == 192.168.0.1 and tcp.port == 80" näyttää vain HTTP-paketit, jotka liittyvät IP-osoitteeseen 192.168.0.1 ja käyttävät TCP-porttia 80.

Hakukentän operaattorit

• eq tai == -> yhtä kuin
• ne tai != -> Ei yhtä kuin
• === -> Yhtä kuin jos enemmän kuin yksi
• !== -> Ei yhtä kuin jos enemmän kuin yksi
• gt tai > -> Isompi kuin
• lt tai < -> Pienempi kuin
• ge tai >= -> Isompi kuin tai yhtä suuri
• le tai <= -> Pienempi kuin tai yhtä suuri
• and tai && -> Ja
• or tai || -> Tai

Esimerkkejä

Näytä vain liikenne porttiin 25 (SMTP) ja ICMP liikenne.

tcp.port == 25 or icmp

Näytä vain liikenne kyseisessä verkossa. Ei Internet liikennettä.

ip.src == 192.168.1.0/24 and ip.dst == 192.168.1.0/24

Näytä SMB, HTTP ja DNS liikenne.

smb || http || dns

Näytä HTTP-pyynnöt missä löytyy merkkijono "lol"

http.request.uri matches "lol"

Näytä DNS liikenne ja älä näytä ei haluttuja IP-osoitteita

ip.src != XXX.XXX.XXX.XXX && ip.dst != XXX.XXX.XXX.XXX && dns

Paras tapa oppia hakutoiminnallisuuden käyttöä on lähteä vapaasti kokeilemaan ja ihmettelemään, miten eri vivut toimivat ja kuinka eristää paketteja.