Wie filtere ich Pakete mit unterschiedlichen Quelladressen in Wireshark?

2635
Richard

Ich habe eine pcapDatei und möchte wiresharkmir Pakete mit unterschiedlicher Quelladresse zeigen. Wie kann ich das machen wireshark?

0

3 Antworten auf die Frage

0
HelpingHand

Ich gehe davon aus, dass Sie nach der IPV4-Quelle suchen, z

ip.src == 192.168.0.200

Tipp : In der Paketansicht können Sie mit der rechten Maustaste auf einen Wert klicken und "Als Filter anwenden" auswählen.

Nein, nehmen wir an, wir haben 10 Pakete, und 4 davon haben ip.src == 192.168.1.100, 4 andere haben ip, src == 192.168.1.101 und der Rest hat ip.src == 192.168.1.102. Ich möchte jetzt nur drei Pakete mit ip.src == 192.168.1.100, 192.168.1.101 und 192.168.1.102 zeigen. Richard vor 7 Jahren 0
0
Jens Ehrich

Verwenden Sie die Registerkarte IPv4 im Element Endpoints (oder Conversations) im Menü Statistics, um eine Liste eindeutiger Hosts (oder Conversations) anzuzeigen. Sie können Ihr Capture auch hier weiter filtern, indem Sie mit der rechten Maustaste auf einen bestimmten Eintrag klicken.

Ich habe das schon einmal probiert, aber in den Endpunkten gibt es kein Paket, das angezeigt werden kann. Richard vor 7 Jahren 0
0
Christopher Maynard

In Ihrem Kommentar zur Antwort von EMK scheint es sich anscheinend um eine eindeutige Liste von Quell-IP-Adressen in einer Capture-Datei zu handeln. Angenommen, Sie können dies tsharkwie folgt erreichen:

Auf * Nix-Plattformen:

tshark -r capture.pcap -T fields -e ip.src | sort -u

Unter Windows benötigen Sie wahrscheinlich eine Batch-Datei, um das entsprechende Ergebnis zu erzielen sort -u. Sie können wahrscheinlich die hier bereitgestellte und unten angegebene verwenden:

tshark.exe -r capture.pcap -T fields -e ip.src > uniqinput.txt sortuniq.bat uniqinput.txt

Batchdatei:

@echo off setlocal disabledelayedexpansion set "prev=" for /f "delims=" %%F in ('sort uniqinput.txt') do ( set "curr=%%F" setlocal enabledelayedexpansion if "!prev!" neq "!curr!" echo !curr! endlocal set "prev=%%F" )
Wo ist die Ausgabe davon ?: 'tshark -r capture.pcap -T Felder -e ip.src | sort -u ' Richard vor 7 Jahren 0
Die Ausgabe wird standardmäßig auf "stdout" gesetzt. Sie können es in eine Datei umleiten oder an einen anderen Befehl weiterleiten, wenn Sie möchten. Christopher Maynard vor 7 Jahren 0

Verwandte Probleme