Wireshark抓包时如何过滤指定IP的流量？

Question

在使用Wireshark进行网络抓包时，如何准确过滤出特定IP地址的流量是常见需求。例如，只想查看源IP或目标IP为192.168.1.100的数据包，应使用何种显示过滤器语法？若同时过滤源和目标IP，或排除某IP的流量，该如何编写过滤表达式？初学者常混淆“ip.addr”、“ip.src”与“ip.dst”的区别，导致过滤结果不符合预期。此外，在混杂模式下捕获的数据包较多时，如何高效结合IP过滤与其他协议条件（如TCP或HTTP）以快速定位问题？这些问题直接影响分析效率与准确性。

Answer 1

一、Wireshark IP流量过滤基础语法详解

在使用Wireshark进行网络抓包时，准确过滤特定IP地址的流量是提升分析效率的关键步骤。初学者常因混淆ip.addr、ip.src和ip.dst而得到错误结果。

1. 基础过滤表达式

• 查看源IP为192.168.1.100的数据包：ip.src == 192.168.1.100
• 查看目标IP为192.168.1.100的数据包：ip.dst == 192.168.1.100
• 同时匹配源或目标IP为192.168.1.100：ip.addr == 192.168.1.100
• 排除所有与192.168.1.100相关的流量：!ip.addr == 192.168.1.100
• 仅排除源IP为192.168.1.100的数据包：!(ip.src == 192.168.1.100)
• 过滤双向通信中两个IP之间的数据包：ip.addr == 192.168.1.100 and ip.addr == 10.0.0.50

过滤器语法	说明
ip.src == A	仅源地址为A的数据包
ip.dst == A	仅目标地址为A的数据包
ip.addr == A	源或目标任一为A（常用）
!(ip.addr == A)	完全排除A参与的通信
ip.src == A && ip.dst == B	A到B的单向流量
ip.src == B && ip.dst == A	B到A的回程流量
tcp.port == 80	筛选HTTP流量（TCP端口80）
http.host contains "example"	过滤HTTP Host头包含关键词
frame.len > 1000	显示大于1000字节的数据帧
ip.proto == 6	仅显示TCP协议（IPv4协议号6）

二、深入理解ip.addr、ip.src与ip.dst的行为差异

许多用户误以为ip.addr等同于“源地址”，但实际上它是一个双向匹配操作符，只要数据包中任意一个IP字段（源或目标）匹配即显示。

# 示例：以下两条语句效果相同
ip.addr == 192.168.1.100
==> 等价于：
(ip.src == 192.168.1.100) || (ip.dst == 192.168.1.100)
    

而ip.src和ip.dst是严格的方向性过滤器，适用于需要精确控制流向的场景，如排查某服务器是否主动发起连接。

值得注意的是，在混杂模式下捕获的数据包可能包含大量无关广播或多播流量，若不加以方向限制，ip.addr可能导致结果集膨胀。

此外，对于NAT环境或负载均衡架构，建议结合MAC地址（eth.src / eth.dst）进一步确认真实通信实体。

三、高级复合过滤策略设计

当面对大规模抓包文件时，应采用分层过滤思路，先缩小IP范围，再叠加协议条件。

1. 第一步：定位关键主机通信
   ip.addr == 192.168.1.100 && ip.addr == 10.0.0.50
2. 第二步：限定传输层协议
   tcp and (ip.addr == 192.168.1.100)
3. 第三步：聚焦应用层行为
   http and ip.addr == 192.168.1.100
4. 第四步：结合端口与状态码
   tcp.port == 443 and http.response.code == 500
5. 第五步：时间窗口内异常流量
   利用“Time Reference”功能标记起始点，配合过滤器分析突增请求
6. 第六步：使用“Follow TCP Stream”追踪会话内容
7. 第七步：导出对象（File → Export Objects）提取HTTP资源

通过这种递进式过滤，可在数百万数据包中快速锁定问题源头。

四、结合协议栈的多维度过滤实战

现代网络环境中，单一IP过滤往往不足以定位复杂问题。需结合传输层与应用层协议构建精准表达式。

# 检查从客户端到Web服务器的HTTPS请求失败情况
ip.src == 192.168.1.100 and ip.dst == 203.0.113.10 and tcp.flags.reset == 1

# 过滤DNS查询中针对特定域名的请求
dns.qry.name contains "malicious-site.com"

# 查找某IP发送的大体积UDP数据包（潜在DDoS）
udp and ip.src == 192.168.1.100 and frame.len > 1400

# 组合条件：某IP的HTTP POST请求且携带敏感参数
http.request.method == "POST" and http.request.uri contains "login"
and ip.addr == 192.168.1.100
    

五、可视化流程辅助决策

借助Mermaid流程图展示典型故障排查路径：

graph TD
    A[开始分析抓包文件] --> B{是否已知故障IP?}
    B -- 是 --> C[使用ip.addr过滤目标主机]
    B -- 否 --> D[通过统计面板识别活跃节点]
    C --> E[叠加协议过滤: TCP/HTTP/DNS等]
    D --> E
    E --> F{是否存在异常标志位?}
    F -- 是 --> G[检查RST/FIN风暴或重传]
    F -- 否 --> H[追踪完整会话流]
    G --> I[关联防火墙或中间件日志]
    H --> J[导出对象验证数据完整性]
    I --> K[形成诊断报告]
    J --> K