Wireshark Display filter 조건들

display 필터 조건들

display 필터링은 capture 필터링과 달리 아래와 같이 아주 detail하게 필터링이 가능하다.

Filter:
(wlan.fc.type_subtype == 0x0a || wlan.fc.type_subtype == 0x01 || wlan.fc.type_subtype == 0x00) && wlan.addr contains 00:30:0d && wlan.addr == 00:40:5a:4d:fb:fa && wlan.fcs_good==true

(disassoc || assoc response || assoc request) && pc들_mac && ap_mac && 깨지지않는 패킷

맥주소에 00:30:0d 를 포함하는 pc들과 지정된 ap간에서 주고 받는 패킷 중에
disassoc, assoc  response, assoc request 타입을 깨지지않은 패킷만 필터링하는 조건이다.


wlan.addr == 00:40:5a:4d:fb:fa
mac 주소가 00:40:5a:4d:fb:fa 인 nic가 보내거나 받은 패킷을 보여준다.

무선 패킷은 깨진 패킷들도 많다. 그것을 다음 조건으로 필터링 할 수도 있다.
wlan.fcs_good==true
fcs(frame check sequence)가 good인 것만 필터링 한다는 의미이다.

비슷한 mac 주소를 갖는 여러대의 nic들의 패킷만 보고 싶을 때 사용가능한 조건이다.
wlan.addr contains 00:30:0d
mac 주소에 00:30:0d 가 들어가는 nic가 보내거나 받는 패킷을 필터링 한다는 의미이다.