Wireshark ] 패킷 분석 시 유용한 필터 + local host traffic (127.0.0.1) 캡쳐

 

📌 프로토콜 필터

tcp
udp

 

📌 MAC Address필터

eth.src == 00:11:22:33:44:55
eth.dst == 00:11:22:33:44:55
eth.addr == 00:11:22:33:44:55

 

📌 IP Address필터

ip.src == 127.0.0.1
ip.dst == 127.0.0.1
ip.addr == 127.0.0.1

 

📌 Port 필터

tcp.srcport == 80
tcp.dstport == 80
tcp.port == 80

 

📌 TCP Flag 필터

tcp.flags.syn == 1
tcp.flags.fin == 1
tcp.flags.reset == 1

 

📌 필터 명령어 혼합 사용

ip.addr == 192.168.0.10 and tcp.port == 80
tcp or udp

 

📌 data길이 필터 (Application Protocol Data 기준)

data.len > 0 (프로토콜 헤더만 존재하는 패킷들을 제외하는 목적으로 주로 사용된다)
data.len > 8

 

📌 data 특정 영역에 특정값을 가지는 패킷 필터

data[0] == 0x21 and data[1] = 0x81
data[4]!= 0xFF

 

📌 data에 특정 연속 데이터를 포함하는 패킷 필터

data contains 0A:0B:0C:0D

 

📌 data에 특정 문자열을 포함하는 패킷 필터

data contains "\"hello\""

 

 

 

참고 : https://blog.naver.com/solder1819

 

 

 

어떤 필터 구문을 써야하는지 알지 못할 때 쓸 수 있는 방법

 

필터하길 원하는 필드를 선택해 오른쪽 클릭 후 Apply as Filter - Selected 또는 Not Selected 를 선택한다.

 

 

 

 

 

 

자주쓰는 필터 저장하기

 

'+' 버튼 클릭 후 Label, Filter, Comment 적고 확인

 

 

 

 

Display Filter 와 Capture Filter

 

Display Filter 는 네트워크 상에 모든 패킷을 캡처하고 필요한 뷰만 필터링 하는 것이라면  Capture Filter는 캡처할 패킷 자체를 필터링하는 것이다. 

 

아래 입력창에 적는 것은 전부 display filter 이다.

 

 

 

 

 

로컬 호스트 127.0.0.1 캡쳐하기