Wireshark协议相关功能：过滤、启用/禁用、导出和统计查看
Wireshark协议相关功能：过滤、启用/禁用、导出和统计查看
Wireshark 是一个功能强大的网络分析工具，广泛应用于网络故障排查、安全分析和协议分析等领域。掌握 Wireshark 的基本操作技巧，特别是协议相关的功能，对于提高工作效率和准确性至关重要。本文将详细介绍 Wireshark 中如何进行协议相关的操作，包括过滤、启用/禁用、导出和统计查看等功能。
1. 过滤/导出指定协议的数据包
Wireshark 提供了强大的过滤功能，可以帮助你聚焦于特定的协议或者网络流量。过滤器可以按协议、IP 地址、端口等多种条件来筛选网络数据包。要过滤指定协议的数据包，您可以使用以下方法：
基础协议过滤：在 Wireshark 的顶部过滤框中输入协议名称，如
http、tcp、udp等。例如，如果您只想查看 HTTP 协议的数据包，可以在过滤框中输入http，按下 Enter 键后，Wireshark 会自动过滤出所有 HTTP 数据包。组合过滤：可以组合多个条件进行过滤。例如，如果您想查看 HTTP 协议的同时，过滤掉其他协议，可以使用：
http && ip.addr == 192.168.1.1。这个过滤器会显示所有 HTTP 协议且 IP 地址为192.168.1.1的数据包。更多高级过滤：Wireshark 支持使用更多复杂的过滤表达式，如过滤特定的端口号、协议类型、数据包大小等。
导出指定协议的数据包：我需要导出DNS报文，在过滤器中输入dns，回车后，过滤出只有DNS的报文，然后通过菜单 文件 > 导出特定分组功能，选择导出所有分组即可。
2. 启用/禁用协议
Wireshark 支持对某些协议的启用或禁用，以优化性能或避免显示不相关的协议。协议的启用和禁用可以在 Wireshark 的设置中进行调整：
启用或禁用协议：
打开 Wireshark，点击菜单栏中的分析，选择已启用的协议。
在协议列表中，您可以看到所有可用的协议。每个协议旁边都有一个复选框，勾选表示启用，取消勾选表示禁用。
禁用特定协议的解码：
有时候，Wireshark 会尝试解码不感兴趣的协议，您可以禁用这些协议的解码，避免干扰。比如，在捕获大量数据包时，如果不关心某些低层协议，可以禁用这些协议的解码。
下拉框选项（搜索条件）说明：
- Everywhere：表示搜索协议和描述（匹配所有内容）。
- Only Protocols：只搜索协议列。
- Only Description：只搜索描述列。
- Only enabled protocols：只搜索生效的协议。
- Only disabled protocols：只搜索禁用的协议。
搜索范围设置：
- any protocol：搜索全部协议。
- non-heuristic protocols：只搜索一级协议。
- heuristic protocols：只搜索二级协议。
3. 如何导出协议类型
Wireshark 默认没有此功能，只能查看和启用/禁用协议。可以将全部协议都禁用掉，然后进入用户目录下查找禁用的配置文件即可，禁用协议的配置在：
C:\Users\用户名\AppData\Roaming\Wireshark\disabled_protos
4. 查看协议统计
Wireshark 提供了强大的统计分析工具，帮助用户查看和分析不同协议的分布情况。以下是常见的协议统计功能：
协议分级统计：
- 在 Wireshark 中，点击菜单栏的统计。
- 选择协议分级，Wireshark 会展示一个列表，显示捕获的数据包中各种协议的层次分布。
- 该树形列表提供了各协议的数量、分组百分比、字节、字节百分比等信息，帮助您了解网络中使用的主要协议。
在指定协议上右键点击查找， 可以查看列表中相关协议的数据包；还可以右键点击 复制为CSV，将UI上的数据复制到文件中保存，即可导出协议统计信息。