Wireshark — мощный анализатор сетевых протоколов, используемый для захвата и анализа сетевого трафика. Одной из его ключевых особенностей является возможность применять фильтры, чтобы сосредоточиться на конкретных интересующих пакетах. В этой статье мы рассмотрим различные методы использования фильтров с подстановочными знаками в Wireshark, сопровождаемые примерами кода.

1. Базовый синтаксис фильтра.
   Wireshark предоставляет гибкий синтаксис фильтра, который позволяет использовать подстановочные знаки для соответствия шаблонам. Наиболее часто используемые подстановочные знаки — это звездочка (*) и вопросительный знак (?). Звездочка соответствует любому количеству символов, а вопросительный знак соответствует одному символу.

Пример 1. Фильтрация HTTP-трафика:

http.request.uri contains "example.com"

Этот фильтр захватывает весь HTTP-трафик, содержащий строку «example.com» в URI запроса.

2. Подстановочные знаки для IP-адресов.
   Wireshark позволяет использовать фильтры подстановочных знаков для IP-адресов, позволяя выбирать определенные IP-адреса или диапазоны источника или назначения.

Пример 2. Фильтрация трафика из определенной подсети:

ip.src==192.168.0.0/24

Этот фильтр захватывает все пакеты с IP-адресом источника в диапазоне от 192.168.0.0 до 192.168.0.255.

3. Подстановочные знаки для номеров портов.
   К номерам портов также можно применять фильтры подстановочных знаков, позволяя выбирать определенные порты источника или назначения или диапазоны портов.

Пример 3. Фильтрация трафика на определенном порту:

tcp.port==8080

Этот фильтр захватывает весь TCP-трафик на порту 8080.

4. Подстановочные знаки для полезных данных пакетов.
   Wireshark позволяет использовать фильтры подстановочных знаков в полезных данных пакетов, помогая идентифицировать определенные шаблоны данных в перехваченных пакетах.

Пример 4. Фильтрация пакетов, содержащих определенное ключевое слово:

data.data contains "password"

Этот фильтр захватывает все пакеты, содержащие ключевое слово «пароль» в полезной нагрузке.

5. Объединение подстановочных знаков.
   Wireshark поддерживает объединение нескольких подстановочных фильтров с использованием логических операторов, таких как «и» (&&) и «или» (||), что позволяет использовать сложные сценарии фильтрации.

Пример 5. Объединение фильтров HTTP-трафика из определенного диапазона IP-адресов:

http.request.uri contains "example.com" && ip.src==192.168.0.0/24

Этот фильтр захватывает HTTP-трафик со строкой «example.com» в URI запроса, исходящей из диапазона IP-адресов 192.168.0.0/24.

Фильтры с подстановочными знаками Wireshark предоставляют мощные средства захвата и анализа определенного сетевого трафика. Используя различные подстановочные знаки и комбинируя фильтры, вы можете точно сосредоточиться на интересующих пакетах. Понимание этих методов значительно расширит ваши возможности сетевого анализа с помощью Wireshark.