按域过滤

【问题标题】：filtering by domain按域过滤
【发布时间】：2014-03-28 13:06:57
【问题描述】：

我想按他们的域过滤我的 pcap 文件。我的意思是，我希望看到数据包来自以“.com”、“.org”或“.net”结尾的网站。

我试过了： dns 包含“com”， ip.src_host == com, ip.src_host == com, http 包含“com”。它们都不能正常工作。

【问题讨论】：

这些保存的捕获文件是您试图过滤或运行捕获文件吗？来自wireshark.org/docs/wsug_html_chunked/… 解析的名称不存储在捕获文件或其他地方。解析的 DNS 名称由 Wireshark 缓存。
它们已经是捕获的文件。谢谢你的回答Thaddeus。

标签： networking filter wireshark pcap tshark

【解决方案1】：

假设是http网络流量，试试http.host contains ".com"

更好的是，试试http.host matches "\.com$"

两者都不需要 DNS 解析，因为它们在 Web 主机上搜索。

来自http://wiki.wireshark.org/DisplayFilters

The matches operator makes it possible to search for text in string fields 
and byte sequences using a regular expression, using Perl regular expression 
syntax. Note: Wireshark needs to be built with libpcre in order to be able to 
use the matches operator.

【讨论】：

请问，当我写“http”作为过滤器时，我看不到任何数据包。但是，当我写“tcp.port == 80”时，我可以看到很多数据包。你觉得为什么会这样吗？