线鲨显示过滤器;按位比较

Question

给定一个pcap文件，我想根据其ip.src上的按位比较将数据包分成四组，仅比较IP中的两个特定位。例如，我想将此比较应用于IP的第2个字节和最后几个位。因此，比较将如下所示：

a = xxxxxxxx & 0x03 //It is 8bits. Hence a includes 000000xx
IF (a == 0x00) THEN set0
IF (a == 0x01) THEN set1
IF (a == 0x02) THEN set2
IF (a == 0x03) THEN set3

不幸的是，只有bitwise_and选项可用。而且我不能在这里对 IP 进行按位操作。有什么解决方案吗？

我想到的是使用以下命令四次，每次使用相应的显示过滤器。

tshark -r <infile> -Y "<display-filter>" -w <outfile>

Answer 1

在 wireshark 中，打开 PCAP 文件并使用显示筛选器，如下所示：

!(ip[12] & 0x01) and !(ip[12] & 0x02)
(ip[12] & 0x01) and !(ip[12] & 0x02)
!(ip[12] & 0x01) and (ip[12] & 0x02)
(ip[12] & 0x01) and (ip[12] & 0x02)

第一个匹配最后两个位的 0b00，

第二个 0b01，第三个 0b10 和最后一个匹配 0b11。

如果你想要其他位，它们将是0x04、0x08、0x10、0x20、0x40和0x80为最高有效位。"&"与bitwise_and相同。

匹配每个数据包后，请使用文件 -> 导出指定的数据包，并确保标记了"已显示"选项。这是一种根据需要将文件拆分为 4 组的方法。