Wireshark - 如何过滤未通过 HTTP 发送的 JSON 内容答案

【问题标题】：Wireshark - How to filter on JSON content not sent over HTTPWireshark - 如何过滤未通过 HTTP 发送的 JSON 内容
【发布时间】：2018-09-18 02:51:52
【问题描述】：

我有一个使用winsock 的windows 服务与另一个使用winsock 的windows 服务通信。我们正在使用 JSON 讨论 TCP/IP。

我试图证明我的服务行为正常，并且它与之通信的服务没有发送预期的数据。

我设置了 wireshark 来捕获我在本地机器上使用的以太网卡，并在 ip.addr == 上进行过滤，我可以看到流量。

我期待包含“消息一”的消息，我可以看到它们，数以千计。虽然我收到了所有这些，但我预计会有一些包含“消息二”的消息

如何设置过滤器以证明我没有收到“消息二”消息？

我用谷歌搜索了一下，有人说 use data-text-lines 包含“消息二”，但这不起作用。我可以通过查看包含“消息一”的消息然后过滤数据文本行包含“消息一”来验证它不起作用，并且它们在不应该时都消失了。我有一种感觉，它只适用于 http。

过滤器有什么用？

编辑 - 回复 v.j 的回复并能够上传图片：

我没有看到“表情”按钮。这是一些屏幕截图。

【问题讨论】：

标签： wireshark

【解决方案1】：

使用这个：

 http.content_type == "application/json"

【讨论】：

【解决方案2】：

Wireshark 也支持 JSON 过滤器。转到分析->显示过滤器，然后单击表达式按钮以配置不同的过滤器字符串，如 -> JSON 对象、JSON 数组等以及“包含”或“存在”等关系

这应该有助于设置 JSON 相关的过滤器。

编辑：附上有关如何通过按钮访问表达式的屏幕截图

EDIT2：可以在 Wireshark 2.4.0 版本中访问表达式，如下所示

【讨论】：

查看原帖中的编辑。不得不上传图片。我没有看到表情按钮。
@Christopher - 我正在使用 Wireshark 版本 1.12.8，其中提供了此功能。你能检查一下你是否有旧版本吗？
我的版本是v2.2.7-0-g1861a96
@Christopher - 感谢您提供版本详细信息。我下载了最新版本 2.4.0，并且可以根据我的帖子的 EDIT2 使用 Expression。希望这有助于 JSON 过滤。