Wireshark - Filtros

Wireshark es una herramienta multiplataforma de análisis de red, producto de la evolución de Ethereal. Funciona al igual que lo puede hacer cualquier otro sniffer tal como Windump, TCPDump ó dsniff. Pero, al contrario de estos, lo hace mostrando los datos a través de un entorno gráfico y de forma más amigable y entendible.

Wireshark - Filtros

Wireshark contempla dos tipos de Filtros. Filtros de captura y Filtros de visualización. Como ya hemos comentado en otras ocasiones, en Wireshark para los filtros de captura podemos hacer uso de los mismos filtros de TCPDump / Windump, ya que usa la misma librería pcap.
Los filtros de captura (Capture Filter) son los que se establecen para mostrar solo los paquetes de cumplan los requisitos indicados en el filtro.
Los filtros de visualización (Display Filer) establecen un criterio de filtro sobre las paquetes capturados y que estamos visualizando en la pantalla principal de Wireshark. Estos filtros son más flexibles y potentes.


Filtros de Captura (Capture Filter)

Filtros basados en hosts:

Sintaxis	Significado
host host	Filtrar por host
src host host	Captura por host origen
dst host host	Captura por host destino

Filtros basados en puertos:

Sintaxis	Significado
port port	Captura todos los paquetes con puerto origen y destino port
src port port	Captura todos los paquetes con puerto origen port
dst port port	Captura todos los paquetes con puerto destino port
not port port	Captura todos los paquetes excepto origen y destino puerto port
not port port and not port port1	Captura todos los paquetes excepto origen y destino puertos port y port1

Filtros de Visualización (Display Filter) 

Comparando filtros:

• Igual a: eq ó ==
• No igual: ne ó !=
• Mayor que:gt ó >
• Menor que: lt ó <
• Mayor o igual: ge ó >=
• Menor o igual: le ó <=

Combinando Filtros:

• Negación: ! ó not
• Unión o Concatenación: && ó and
• Alternancia:|| ó or

Otros operadores

• Contains: Realizamos una búsqueda por la cadena contains