Joke Snelders

RSS
Overzicht van artikelen >

Wireshark: Wireless Display en Capture Filters

Geplaatst op 16-2-2010 13:48 door Joke SneldersClick here for the English version.

Display filters
Je gebruikt display filters om bepaalde packets in beeld te krijgen of juist om packets, waar je niet in geïnteresseerd bent uit te filteren. Packets, die niet aan de filter voorwaarden voldoen, worden verborgen, maar niet verwijderd uit de capture file.

Er zijn verschillende manieren om display filters toe te passen.
Je kunt het display filters typen in het Filter Input Field in de Filter Toolbar en hierbij gebruik maken van de autocomplete functie.
Als de achtergrond groen kleurt, dan is de filter string geldig.
Vergeet niet om Apply te klikken of te Enteren om het filter toe te passen.

Je kunt ook kopiëren en plakken gebruiken om de filter string in het Filter Input Field in te voeren.

Hier volgen een paar voorbeelden:
  • Laat alleen de beacon frames zien:
    wlan.fc.type_subtype == 0x08
  • Laat alles, behalve de beacon frames zien:
    !wlan.fc.type_subtype == 0x08
  • Laat alleen de beacon frames en ack frames zien:
    (wlan.fc.type_subtype == 0x08) || (wlan.fc.type_subtype == 0x1d)
  • Laat alles, behalve de beacon en ack frames zien:
    (!wlan.fc.type_subtype == 0x08) && (!wlan.fc.type_subtype == 0x1d)
Je vindt meer informatie in de Wireshark User's Guide en in de Wireshark Wiki.

wireshark_display_filter

Capture filters
Bij het gebruik van capture filters worden alleen packets, die aan de capture filter criteria voldoen opgeslagen in de capture file. Hierdoor wordt de hoeveelheid data, die je captured verminderd.

Capture filters hebben een andere syntax dan display filters.

Je voert de capture filters in in het Filter field van het Wireshark Capture Options dialoog venster.

Hier volgen een paar voorbeelden:
  • Capture alleen beacon frames:
    wlan[0] == 0x80
  • Capture alles, behalve beacon frames:
    wlan[0] != 0x80
  • Capture alleen beacon frames en ack frames:
    wlan[0] == 0x80 || wlan[0] == 0xd4
  • Capture alles, behalve beacon frames en ack  frames:
    wlan[0] != 0x80 and wlan[0] != 0xd4
wireshark_capture_filter


Je vindt meer informatie in de Wireshark User's Guide en in de Wireshark Wiki.


De display en capture filters opslaan

File dfilters
Om de display filters op te slaan voor toekomstig gebruik, kun je het bestand dfilters aanpassen.

In Windows XP vind je het bestand dfilters hier:
C:\Documents and Settings\\Application Data\Wireshark\dfilters

In Windows 7 of Windows Server 2008:
C:\Users\\AppData\Roaming\Wireshark\dfilters

Notes:
  • Je moet "Show Hidden Files, Folders, and drives" aanzetten om de folder AppData te zien:
    ga naar Control Panel\All Control Panel Items -> Folder Options -> View -> Show Hidden Files, Folders, and drives.
  • Als er nog geen bestand dfilters is, dan kun je het bestand kopiëren en plakken van C:\Program Files\Wireshark\dfilters naar C:\Users\\AppData\Roaming\Wireshark\dfilters.
  • Het bestand dfilters heeft geen extensie.

Open het bestand dfilters met Notepad.
Kopieer en plak de volgende tekst:
"WLAN DISPLAY FILTERS" HEADER
"    Beacon Frames" wlan.fc.type_subtype == 0x08
"    No Beacon Frames" !wlan.fc.type_subtype == 0x08
"    Beacon Frames or Ack's" (wlan.fc.type_subtype == 0x08) || (wlan.fc.type_subtype == 0x1d)
"    No Beacon Frames and No Ack" (!wlan.fc.type_subtype == 0x08) && (!wlan.fc.type_subtype == 0x1d)

Zorg dat het bestand eindigt met een "lege regel", omdat je anders het laatste filter niet in beeld krijgt.

File cfilters
Herhaal de bovengenoemde stappen om het bestand cfilters aan te passen.

Kopieer en plak de volgende tekst:
"WLAN CAPTURE FILTERS" HEADER
"    Capture only Ethernet type EAPOL" ether proto 0x888e
"    Beacon Frames" wlan[0] == 0x80
"    No Beacon Frames" wlan[0] != 0x80
"    Probe Requests" wlan[0] == 0x40
"    No Probe Requests" wlan[0] != 0x40
"    Probe Response" wlan[0] == 0x50
"    No Probe Response" wlan[0] != 0x50
"    Ack" wlan[0] == 0xd4
"    No Ack" wlan[0] != 0xd4
"    CF-End" wlan[0] == 0xe4
"    No CF-End" wlan[0] != 0xe4
"    Clear-to-send" wlan[0] == 0xc4
"    No Clear-to-send" wlan[0] != 0xc4
"    Beacon Frames - Probe Response/Request - Ack" wlan[0] == 0x80 or wlan[0] == 0x50 or wlan[0] == 0x40 or wlan[0] == 0xd4
"    No Beacon Frames - No Probe Response/Request - No Ack" wlan[0] != 0x80 and wlan[0] != 0x50 and wlan[0] != 0x40 and wlan[0] != 0xd4
"    Beacon Frames-Probe Resp/Req-Ack-CF-End-Clear-to-send" wlan[0] == 0x80 or wlan[0] == 0x50 or wlan[0] == 0x40 or wlan[0] == 0xd4 or wlan[0] == 0xe4 or wlan[0] == 0xc4
"    No Beacon Frames-Probe Resp/Req-Ack-CF-End-Clear-to-send" wlan[0] != 0x80 and wlan[0] != 0x50 and wlan[0] != 0x40 and wlan[0] != 0xd4 and wlan[0] != 0xe4 and wlan[0] != 0xc4

Je ziet de nieuwe filters in het "Display Filters" en "Capture Filters" dialoog venster, nadat je Wireshark opnieuw hebt opgestart.

wireshark_capture_filter_dialog_box


Tip
Op de website van Packet Life staan een aantal interessante Cheat Sheets.

Share/Save/Bookmark

Reacties

Capture filters 4-7-2010 15:06

Hier zijn nog een paar nuttige capture filters:
wlan sa (source address):
wlan src XX:XX:XX:XX:XX:XX

wlan da (destination address):
wlan dst XX:XX:XX:XX:XX:XX

wlan ra (receiver address):
wlan addr1 XX:XX:XX:XX:XX:XX

wlan ta (transmitter address):
wlan addr2 XX:XX:XX:XX:XX:XX

wlan host XX:XX:XX:XX:XX:XX

Met dank aan Guy Harris:
http://www.wireshark.org/lists/wireshark-users/201007/msg00037.html
Afzender: Joke

Reageer op dit artikel

Naam:
Uw Email adres:
Titel:
Bericht: