Professional Documents
Culture Documents
Seguridad y Redes
Página personal de Alfon.
Este artículo es fruto de algunos correos y algún comentario relativo a como filtrar en Wireshrak.
Wireshark contempla dos tipos de Filtros. Filtros de capura y Filtros de visualización. Como ya hemos
comentado en otras ocasiones, en Wireshark para los filtros de captura podemos hacer uso de la ya aprendido
en los filtros TCPDump / Windump, ya que usa la misma libreria pcap.
Los filtros de captura (Capture Filter) son los que se establecen para mostrar solo los paquetes de cumplan
los requisitos indicados en el filtro.
Los filtros de visualización (Display Filer) establecen un criterio de filtro sobre las paquetes capturados y
que estamos visualizando en la pantalla principal de Wireshark. Estos filtros son mas flexibles y pontentes.
Estos filtros están basados en las librerías pcap. Los filtros son los mismos que podemos aplicar para
Windump / TCPDump y que hemos visto aquí.
Así pues, para estos filtros, solo estudiaremos algunos ejemplos y como aplicarlos a Wireshark.
Los filtros de captura son los que se establecen para mostrar solo los paquetes de cumplan los requisitos
indicados en el filtro. Si no establecemos ninguno, Wireshark capturará todo el tráfico y lo presentará en la
pantalla principal. Aún así podrémos establecer filtros de visualización (display filter) para que nos muestre
solo el trafíco deseado.
seguridadyredes.wordpress.com/…/analisis-de-red-con-wireshark-filtros-de-captura-y-visualizacian/ 1/10
04/09/12
Análisis de red con Wireshark. Filtros de captura y visualización. | Seguridad y Redes
En el campo Capture Filter introducimos el filtro o pulsamos el botón Capture Filter para filtros
predefinidos:
Combinación de Filtros.
Negación: ! ó not
seguridadyredes.wordpress.com/…/analisis-de-red-con-wireshark-filtros-de-captura-y-visualizacian/ 2/10
04/09/12
Análisis de red con Wireshark. Filtros de captura y visualización. | Seguridad y Redes
Sintaxis Significado
Ejemplos
host 192.168.1.20 Captura todos los paquetes con origen y destino 192.168.1.20
src host 192.168.1.1 Captura todos los paquetes con origen en host 192.1681.1
dst host 192.168.1.1 Captura todos los paquetes con destino en host 192.168.1.1
dst host SERVER-1 Captura todos los paquetes con destino en host SERVER-1
host www.terra.com Captura todos los paquetes con origen y distino www.terra.com
port port Captura todos los paquetes con puerto origen y destino port
src port port Captura todos los paquetes con puerto origen port
dst port port Captura todos los paquetes con puerto destino port
not port port Captura todos los paquetes excepto origen y destino puerto port
not port port and not port Captura todos los paquetes excepto origen y destino puertos port y
port1 port1
Ejemplos
not port 21 and not port Captura todos los paquetes excepto origen y destino puertos 21 y 80
80
portrange 1-1024 Captura todos los paquetes con puerto origen y destino en un rango
de puertos 1 a 1024
dst portrange 1-1024 Captura todos los paquetes con puerto destino en un rango de
puertos 1 a 1024
Ejemplos
net net Captura todo el trafico con origen y destino red net
dst net net Captura todo el trafico con destino red net
src net net Captura todo el trafico con origen red net
Ejemplos
net 192.168.1.0 Captura todo el trafico con origen y destino subred 1.0
net 192.168.1.0/24 Captura todo el trafico para la subred 1.0 mascara 255.0
dst net 192.168.2.0 Captura todo el trafico con destino para la subred 2.0
net 192.168.2.0 and port 21 Captura todo el trafico origen y destibo puerto 21 en subred 2.0
not broadcast and not Captura todo el trafico excepto el broadcast y el multicast
multicast
Aunque son filtros con ejemplos para Windump y TCPdump, los siguientes estudis de filtros avanzados se
puedan aplicar sin problemas en Wireshark. Filtros avanzados aquí, aquí y aquí.
Los filtros de visualización establecen un criterio de filtro sobre las paquetes que estamos capturano y que
estamos visualizando en la pantalla principal de Wireshark. Al aplicar el filtro en la pantalla principal de
Wireshark aparecerá solo el trafíco filtrado a través del filtro de visualización.
Lo podemos usar también para filtrar el contenido de una captura a través de un fichero pcap ( archivo.pcap
).
Comparando Filtros.
Igual a: eq ó ==
No igual: ne ó !=
Mayor que:gt ó >
Menor que: lt ó <
Mayor o igual: ge ó >=
seguridadyredes.wordpress.com/…/analisis-de-red-con-wireshark-filtros-de-captura-y-visualizacian/ 4/10
04/09/12
Análisis de red con Wireshark. Filtros de captura y visualización. | Seguridad y Redes
Combinando Filtros.
Negación: ! ó not
Unión o Concatenación: && ó and
Alternancia:|| ó or
Otro operadores.
Si queremos aplicar otro filtro pulsamos el botón Clear, introducimos el filtro y pulsamos Apply.
Ejemplos de filtros:
Filtros de visualización
Ejemplos
Sintaxis Significado
ip.addr == 192.168.1.30 and Visualiza todo el tráfico origen y destino puerto 143 relativo al
tcp.port == 143 host 192.168.1.30
frame contains Visualizamos todos los correos con origen y destivo al dominio
seguridadyredes.wordpress.com/…/analisis-de-red-con-wireshark-filtros-de-captura-y-visualizacian/ 5/10
04/09/12
Análisis de red con Wireshark. Filtros de captura y visualización. | Seguridad y Redes
ip.ttl == 1 Visualiza todo los paquetes IP cuyo campo TTL sea igual a 1
ip.tos == x Visualiza todo los paquetes IP cuyo campo TOS sea igual a x
Consiga un nº de teléf.
Núms. disponibles en + de 50 países
Conteste llamadas en cualquier país
sonetel.com
Tu voto: 1 Vote
Esta entrada fue publicada en Seguridad y redes, Wireshark . Tshark y etiquetada análisis, avanzados, captura, capture, display, ethereal, ethernet, filter, filtros, icmp,
interpretar, ip, red, Snort, tcp, tcpdump, tráfico, windump, wireshark. Guarda el enlace permanente.
Juan Jo dijo:
4 septiembre, 2008 a las 9:42 am
Hola,
Me parece increible la cantidad de información útil que nos ofreces en tu blog. Yo he aprendido infinidad de cosas con él.
Muchas gracias.
Una pregunta que quería hacerte. He estado leyendo el artículo sobre donde poner un sniffer en una lan para olisquear todo el
tráfico. En mi situación lo que yo estoy haciendo ahora es correr wireshark en mi máquina y cambiar la dirección del gateway
y yo suplantar al gateway, pero esto deja sin inet a todos los de mi lan. Hay alguna posibilidad de poder montar facilmente un
proxy o algo en mi máquina para q esto sea transparente?.
Gracias por adelantado,
seguridadyredes.wordpress.com/…/analisis-de-red-con-wireshark-filtros-de-captura-y-visualizacian/ 6/10