3个Wireshark使用小妙招，工作效率提升一倍！

怼烎@ 2023-10-14 23:34 36阅读 0赞

作为一名网络工程师，每天我们都需要处理很多奇怪的问题，为了帮助工程师找出根本原因，Wireshark 成了工程师日常工作中的得力助手，本文将给您介绍三个我用Wireshark的时候经常干的操作。

### 1.设置捕获包大小 ###

当开始抓包时，确保只抓你想要的，为了使抓包文件准确和小，你可以改变数据包大小：

点击【捕获】：

![a5900daa3decf8c0a8e3abd10d1c09cb.png][]

点击【选项】：

![e062fc2891dc4393afa1552f8103689e.png][]

在“Input”页签中，我们看到“捕获长度”就是我们想要设置的地方：

![b6b6108afb3e22b911076931c44ebf70.png][]

捕获长度是网络捕获工具实际捕获并存储到 CaptureFile 中的每一帧的数据量。

可以看到帧的默认大小是262144B，为了优化它，我建议将它设置在80-200之间：

![1514895e88fe21d335456434527e0490.png][]

这样就可以使得帧包括TCP层、网络层和数据链路层数据包更小，便于分析的效率。

### 2.设置颜色规则 ###

当你完成捕捉后，如何找到你真正想要的是一个问题，要找到这些数据包，用不同颜色突出显示这些数据包是一个不错的选择。

那么怎么设置呢？

点击导航栏的【视图】：

![4d30cb34b76f8ca97712cb2b5a3fcb19.png][]

选择点击【着色规则】：

![4503c8f2199d7cb405160bca32970e30.png][]

可以看到，一些预定义的颜色规则已经存在，就如同现在看到的一样：

![2f4613d75584c742a035502ffc78031f.png][]

*  灰色代表：TCP SYN/FIN
 *  红色代表：TCP RST
 *  淡紫色代表：TCP

双击编辑，或者你自己添加，可以看到颜色规则是和滤镜相关的。

![d5f2a3faa70923a48241e3c63429a3b9.png][]

如上图，我增加了一个名为“localhost”着色规则，过滤器为“ip.addr == 192.168.3.29”，这是我本地的私网ip地址，也就是说当包涉及到我本地地址的时候就会着色显示，我们来试一下：

![6899b18e06c45b242ba9118a117701a7.png][]

可以清晰的看到我们设置的着色规则生效了！

### 3.设置过滤器 ###

Wireshark 有很多过滤器，但我们记不住所有的过滤器，虽然 wireshark 在 `www.wireshark.org/docs/dfref/` 中提供了它，你可以通过这个站点查看它：

![8b9a3e208fb6182e35964b62185ca17d.png][]

但是你也看到了，从进度条的大小来看，这个规则是真的多，想要全部学习，不太现实。

我们就简单的介绍一下平时我是怎么用的。

一般情况下，你在Wireshark界面上看到的数据基本上已经足够你分析了，那么大多数情况下，基于界面的数据进行过滤可以这样做：

比如看下面的截图：

![5886c9b8a09c6d7fe4f04964edb427f0.png][]

在source这一列有很多ip，这个时候你想过滤出源ip为`111.230.120.127`的包，只需要鼠标悬浮在source列任意一个`111.230.120.127`地址上，右击，选择“作为过滤器应用”，选择“选中”：

![3bd7057180bf4fec652dce605d1388f8.png][]

然后你会看到过滤器编辑框中自动加上了`ip.src == 111.230.120.127`，并且过滤出所有以`111.230.120.127`为源ip的包：

![8c900980f00e674b8091dd35675e05c1.png][]

就是那么简单，你不需要记“源ip过滤”怎么写规则。

再比如说当我们想过滤出帧生效时间是0.193381的包，也可以通过同样的办法来过滤：

![35ce7f244be65f929a67f61633bc329c.png][]

过滤的结果：

![243a76f1dac424426ea307bab1bc4da8.png][]

是不是简单便捷。

好了，今天就给大家分享这三个小妙招，可能会的朋友早已在用了，不怎么熟悉的朋友可以试试哦。后面想起其他小妙招再给各位小伙伴分享。

[a5900daa3decf8c0a8e3abd10d1c09cb.png]: https://img-blog.csdnimg.cn/img_convert/a5900daa3decf8c0a8e3abd10d1c09cb.png
[e062fc2891dc4393afa1552f8103689e.png]: https://img-blog.csdnimg.cn/img_convert/e062fc2891dc4393afa1552f8103689e.png
[b6b6108afb3e22b911076931c44ebf70.png]: https://img-blog.csdnimg.cn/img_convert/b6b6108afb3e22b911076931c44ebf70.png
[1514895e88fe21d335456434527e0490.png]: https://img-blog.csdnimg.cn/img_convert/1514895e88fe21d335456434527e0490.png
[4d30cb34b76f8ca97712cb2b5a3fcb19.png]: https://img-blog.csdnimg.cn/img_convert/4d30cb34b76f8ca97712cb2b5a3fcb19.png
[4503c8f2199d7cb405160bca32970e30.png]: https://img-blog.csdnimg.cn/img_convert/4503c8f2199d7cb405160bca32970e30.png
[2f4613d75584c742a035502ffc78031f.png]: https://img-blog.csdnimg.cn/img_convert/2f4613d75584c742a035502ffc78031f.png
[d5f2a3faa70923a48241e3c63429a3b9.png]: https://img-blog.csdnimg.cn/img_convert/d5f2a3faa70923a48241e3c63429a3b9.png
[6899b18e06c45b242ba9118a117701a7.png]: https://img-blog.csdnimg.cn/img_convert/6899b18e06c45b242ba9118a117701a7.png
[8b9a3e208fb6182e35964b62185ca17d.png]: https://img-blog.csdnimg.cn/img_convert/8b9a3e208fb6182e35964b62185ca17d.png
[5886c9b8a09c6d7fe4f04964edb427f0.png]: https://img-blog.csdnimg.cn/img_convert/5886c9b8a09c6d7fe4f04964edb427f0.png
[3bd7057180bf4fec652dce605d1388f8.png]: https://img-blog.csdnimg.cn/img_convert/3bd7057180bf4fec652dce605d1388f8.png
[8c900980f00e674b8091dd35675e05c1.png]: https://img-blog.csdnimg.cn/img_convert/8c900980f00e674b8091dd35675e05c1.png
[35ce7f244be65f929a67f61633bc329c.png]: https://img-blog.csdnimg.cn/img_convert/35ce7f244be65f929a67f61633bc329c.png
[243a76f1dac424426ea307bab1bc4da8.png]: https://img-blog.csdnimg.cn/img_convert/243a76f1dac424426ea307bab1bc4da8.png