Wireshark Mitschnittfilter - Versionsgeschichte

Thomas.will: /* Möglichkeiten für Filterausdrücke */

2023-09-07T17:42:59Z

Möglichkeiten für Filterausdrücke

Janning am 10. Oktober 2016 um 10:12 Uhr

2016-10-10T10:12:17Z

Janning: /* Syntax */

2016-10-05T13:20:51Z

Syntax

Janning: /* Syntax */

2016-10-05T13:11:35Z

Syntax

Janning: /* Syntax */

2016-10-05T09:39:38Z

Syntax

Janning am 5. Oktober 2016 um 09:38 Uhr

2016-10-05T09:38:48Z

Janning: /* Mitschnittfilter */

2016-10-05T08:31:45Z

Mitschnittfilter

Janning am 4. Oktober 2016 um 13:16 Uhr

2016-10-04T13:16:25Z

Janning am 4. Oktober 2016 um 13:14 Uhr

2016-10-04T13:14:15Z

Janning am 4. Oktober 2016 um 13:13 Uhr

2016-10-04T13:13:43Z

@@ Zeile 15: / Zeile 15: @@
 ==Möglichkeiten für Filterausdrücke==
-*[src|dst] host <Host-IP>
+*[[Mitschnitt Filter]]
 =Beispiele=

@@ Zeile 42: / Zeile 42: @@
 [[Datei:wireshark-schulung6.png]]
-===Verknüpfung mit "and"===
+===Verknüpfung mit "or"===
 [[Datei:wireshark-schulung7.png]]
@@ Zeile 49: / Zeile 49: @@
-===Verknüpfung mit "or"===
+===Verknüpfung mit "and"===
 [[Datei:wireshark-schulung9.png]]
 [[Datei:wireshark-schulung10.png]]

@@ Zeile 7: / Zeile 7: @@
 =Syntax=
-*Die Syntax ist ähnlich der von tcpdump. Interfaces müssen noch vor dem Mitschnitt ausgewählt werden. Will man nur Pakete, die eine bestimmte IP-Addresse beinhalten verwendet man den Parameter "host", will man nur Pakete, die über einen bestimmten Port laufen, so verwendet man den Parameter "port". Es lassen sich außerdem 2 Filter durch die Bedingungen "and" oder "or" verknüpfen. Ferner ist es auch möglich nach Protokollen wie "esp" oder "icmp" zu filtern.
+*Die Syntax ist ähnlich der von tcpdump. Interfaces müssen noch vor dem Mitschnitt ausgewählt werden. Will man nur Pakete, die eine bestimmte IP-Addresse beinhalten verwendet man den Parameter "host", will man nur Pakete, die über einen bestimmten Port laufen, so verwendet man den Parameter "port". Es lassen sich außerdem 2 Filter durch die Bedingungen "and" oder "or" verknüpfen. Ferner ist es auch möglich nach Protokollen wie "esp" oder "icmp" zu filtern. Außerdem ist es möglich den Ausdruck mit "not" zu negieren.
 *Färbt sich das Feld des Mitschnittfilters grün, so bedeutet dies, dass ein gültiger Mitschnittfilter eingegeben wurde. Färbt es sich jedoch rot, bedeutet dies, dass der eingegebene Mitschnittfilter insgesamt ungültig ist oder einen Fehler in der Syntax oder der Schreibweiße enthält. Eine gelbe Flagge neben dem grünen Anzeigefeld bedeutet, dass der Mitschnittfilter zwar gültig ist, sich aber in zukünftigen Versionen von Wireshark die Syntax so verändern kann, dass der Mitschnittfilter in dieser Form nicht mehr gültig sein könnte.

← Nächstältere Version		Version vom 5. Oktober 2016, 13:11 Uhr
Zeile 10:		Zeile 10:

	*Färbt sich das Feld des Mitschnittfilters grün, so bedeutet dies, dass ein gültiger Mitschnittfilter eingegeben wurde. Färbt es sich jedoch rot, bedeutet dies, dass der eingegebene Mitschnittfilter insgesamt ungültig ist oder einen Fehler in der Syntax oder der Schreibweiße enthält. Eine gelbe Flagge neben dem grünen Anzeigefeld bedeutet, dass der Mitschnittfilter zwar gültig ist, sich aber in zukünftigen Versionen von Wireshark die Syntax so verändern kann, dass der Mitschnittfilter in dieser Form nicht mehr gültig sein könnte.		*Färbt sich das Feld des Mitschnittfilters grün, so bedeutet dies, dass ein gültiger Mitschnittfilter eingegeben wurde. Färbt es sich jedoch rot, bedeutet dies, dass der eingegebene Mitschnittfilter insgesamt ungültig ist oder einen Fehler in der Syntax oder der Schreibweiße enthält. Eine gelbe Flagge neben dem grünen Anzeigefeld bedeutet, dass der Mitschnittfilter zwar gültig ist, sich aber in zukünftigen Versionen von Wireshark die Syntax so verändern kann, dass der Mitschnittfilter in dieser Form nicht mehr gültig sein könnte.
		+
		+	*Generell funktioniert die Syntax nach folgendem Muster:
		+	**[not] Filterausdruck [and\|or [not] Filterausdruck ...]
		+
		+	==Möglichkeiten für Filterausdrücke==
		+	*[src\|dst] host <Host-IP>
		+	*ether [src\|dst] host <MAC-Addresse>
		+	*[src\|dst] net <Netzwerkaddresse> [{mask <SN-Maske>}\|/<Präfix>]
		+	*[tcp\|udp] [src\|dst] port <Portnummer>
		+	*less\|greater <Länge in Bytes>
		+	*[ip\|ether] proto <Protokollnummer>
		+	*[ip\|ether] broadcast\|multicast

	=Beispiele=		=Beispiele=

@@ Zeile 9: / Zeile 9: @@
 *Die Syntax ist ähnlich der von tcpdump. Interfaces müssen noch vor dem Mitschnitt ausgewählt werden. Will man nur Pakete, die eine bestimmte IP-Addresse beinhalten verwendet man den Parameter "host", will man nur Pakete, die über einen bestimmten Port laufen, so verwendet man den Parameter "port". Es lassen sich außerdem 2 Filter durch die Bedingungen "and" oder "or" verknüpfen. Ferner ist es auch möglich nach Protokollen wie "esp" oder "icmp" zu filtern.
-*Färbt sich das Feld des Mitschnittfilters grün, so bedeutet dies, dass ein gültiger Mitschnittfilter eingegeben wurde. Färbt es sich jedoch rot, bedeutet dies, dass der eingegebene Mitschnittfilter insgesamt ungültig ist oder einen Fehler in der Syntax oder der Schreibweiße enthält. Ein gelbes Anzeigefeld bedeutet, dass der Mitschnittfilter zwar gültig ist, sich aber in zukünftigen Versionen von Wireshark die Syntax so verändern kann, dass der Mitschnittfilter in dieser Form nicht mehr gültig sein könnte.
+*Färbt sich das Feld des Mitschnittfilters grün, so bedeutet dies, dass ein gültiger Mitschnittfilter eingegeben wurde. Färbt es sich jedoch rot, bedeutet dies, dass der eingegebene Mitschnittfilter insgesamt ungültig ist oder einen Fehler in der Syntax oder der Schreibweiße enthält. Eine gelbe Flagge neben dem grünen Anzeigefeld bedeutet, dass der Mitschnittfilter zwar gültig ist, sich aber in zukünftigen Versionen von Wireshark die Syntax so verändern kann, dass der Mitschnittfilter in dieser Form nicht mehr gültig sein könnte.
 =Beispiele=

← Nächstältere Version		Version vom 5. Oktober 2016, 09:38 Uhr
Zeile 8:		Zeile 8:

	*Die Syntax ist ähnlich der von tcpdump. Interfaces müssen noch vor dem Mitschnitt ausgewählt werden. Will man nur Pakete, die eine bestimmte IP-Addresse beinhalten verwendet man den Parameter "host", will man nur Pakete, die über einen bestimmten Port laufen, so verwendet man den Parameter "port". Es lassen sich außerdem 2 Filter durch die Bedingungen "and" oder "or" verknüpfen. Ferner ist es auch möglich nach Protokollen wie "esp" oder "icmp" zu filtern.		*Die Syntax ist ähnlich der von tcpdump. Interfaces müssen noch vor dem Mitschnitt ausgewählt werden. Will man nur Pakete, die eine bestimmte IP-Addresse beinhalten verwendet man den Parameter "host", will man nur Pakete, die über einen bestimmten Port laufen, so verwendet man den Parameter "port". Es lassen sich außerdem 2 Filter durch die Bedingungen "and" oder "or" verknüpfen. Ferner ist es auch möglich nach Protokollen wie "esp" oder "icmp" zu filtern.
		+
		+	*Färbt sich das Feld des Mitschnittfilters grün, so bedeutet dies, dass ein gültiger Mitschnittfilter eingegeben wurde. Färbt es sich jedoch rot, bedeutet dies, dass der eingegebene Mitschnittfilter insgesamt ungültig ist oder einen Fehler in der Syntax oder der Schreibweiße enthält. Ein gelbes Anzeigefeld bedeutet, dass der Mitschnittfilter zwar gültig ist, sich aber in zukünftigen Versionen von Wireshark die Syntax so verändern kann, dass der Mitschnittfilter in dieser Form nicht mehr gültig sein könnte.

	=Beispiele=		=Beispiele=

@@ Zeile 3: / Zeile 3: @@
 *Mit dem Mitschnittfilter ist es möglich zu bestimmen welcher Traffic durch Wireshark aufgezeichnet werden soll. Hierbei sind eine vielzahl von Einschränkungen möglich, die von verschiedenen Ports, Protokollen oder sogar bis zu bestimmten IP-Addressen reichen können. Die Syntax ist dabei der von tcpdump recht ähnlich. Zu beachten ist hierbei, dass Traffic der nicht den festgelegten Filter-Regeln entspricht einfach nicht mit geschnitten wird und somit auch nicht als Datensatz in Wireshark verfügbar ist.
-*Will man erst einmal allen Traffic auf dem Interface mitschneiden und erst später eine Einschränkung der angezeigten Pakete vornehmen und das ohne, dass die Pakete auf die der Filter nicht zutrifft verloren gehen, so bietet sich hier eher der Anzeigenfilter an als weitere Option an.
+*Will man erst einmal allen Traffic auf dem Interface mitschneiden und erst später eine Einschränkung der angezeigten Pakete vornehmen und das ohne, dass die Pakete auf die der Filter nicht zutrifft verloren gehen, so bietet sich hier eher der Anzeigenfilter als weitere Option an.
 =Syntax=

← Nächstältere Version		Version vom 4. Oktober 2016, 13:16 Uhr
Zeile 28:		Zeile 28:

	[[Datei:wireshark-schulung6.png]]		[[Datei:wireshark-schulung6.png]]
		+
		+	===Verknüpfung mit "and"===
		+
		+	[[Datei:wireshark-schulung7.png]]
		+
		+	[[Datei:wireshark-schulung8.png]]
		+
		+
		+	===Verknüpfung mit "or"===
		+
		+	[[Datei:wireshark-schulung9.png]]
		+
		+	[[Datei:wireshark-schulung10.png]]

@@ Zeile 12: / Zeile 12: @@
 =Beispiele=
-==Host===
+===Host===
 [[Datei:wireshark-schulung1.png]]
 [[Datei:wireshark-schulung2.png]]
-==Port==
+===Port===
 [[Datei:wireshark-schulung3.png]]
@@ Zeile 23: / Zeile 23: @@
 [[Datei:wireshark-schulung4.png]]
-==Protokoll==
+===Protokoll===
 [[Datei:wireshark-schulung5.png]]
 [[Datei:wireshark-schulung6.png]]

← Nächstältere Version		Version vom 4. Oktober 2016, 13:13 Uhr
Zeile 8:		Zeile 8:
	=Syntax=		=Syntax=

−	*Die Syntax ist ähnlich der von tcpdump. Interfaces müssen noch vor dem Mitschnitt ausgewählt werden. Will man nur Pakete, die eine bestimmte IP-Addresse beinhalten verwendet man den Parameter "host", will man nur Pakete, die über einen bestimmten Port laufen, so verwendet man den Parameter "port". Es lassen sich außerdem 2 Filter durch die Bedingungen "and" oder "or" verknüpfen. ~~Unten eine Übersicht über die Parameter und ihre Funktionen~~.	+	*Die Syntax ist ähnlich der von tcpdump. Interfaces müssen noch vor dem Mitschnitt ausgewählt werden. Will man nur Pakete, die eine bestimmte IP-Addresse beinhalten verwendet man den Parameter "host", will man nur Pakete, die über einen bestimmten Port laufen, so verwendet man den Parameter "port". Es lassen sich außerdem 2 Filter durch die Bedingungen "and" oder "or" verknüpfen. Ferner ist es auch möglich nach Protokollen wie "esp" oder "icmp" zu filtern.
		+
		+	=Beispiele=
		+
		+	==Host===
		+	[[Datei:wireshark-schulung1.png]]
		+
		+	[[Datei:wireshark-schulung2.png]]
		+
		+	==Port==
		+
		+	[[Datei:wireshark-schulung3.png]]
		+
		+	[[Datei:wireshark-schulung4.png]]
		+
		+	==Protokoll==
		+
		+	[[Datei:wireshark-schulung5.png]]
		+
		+	[[Datei:wireshark-schulung6.png]]