No Wireshark versão 1.12.4, estou tentando filtrar mensagens de pacotes com um protocolo SSDP. Quando cliquei no botão Expressão próximo ao campo Filtro e selecionei "HTTP" (como nome do campo) e "está presente" (como relação), ainda recebo SSDP. A maioria das mensagens são SSDP, por isso é difícil solucionar problemas de pacotes de solicitação e resposta que me interessam com SSDP na lista.
Responder1
SSDP é implementado como um protocolo executado sobre HTTP sobre UDP, portanto, o filtro "http" corresponderá aos pacotes SSDP. O filtro “http e não udp” deve eliminar pacotes SSDP; também irá, obviamente, eliminaroutroPacotes HTTP sobre UDP, mas não tenho certeza se algum dia haverá pacotes HTTP sobre UDP que não sejam pacotes SSDP.
Responder2
Acabei de usar a funcionalidade da ferramenta, clicando com o botão direito em um dos pacotes que estava problemático, selecionei o submenu "Aplicar como filtro" > selecionei ".. e não selecionado" (no agrupamento "Não selecionado") .
Em seguida, mudou a expressão para ficar assim.
(http)&&!(ip.dst == 239.255.255.250)
Portanto, ao usar o pop-up Expressão, ele pode aplicar apenas um único filtro, mas para obter vários filtros, você pode digitar a expressão do filtro e clicar em "Aplicar". Ou use o menu de contexto do botão direito, clique em "Aplicar como filtro" e clique em "Aplicar".
Isso eliminou todas as linhas da lista, exceto 4! Todos eles tinham o protocolo SSDP.
EDITAR:
Além disso, parece que o Wireshark tem suas próprias perguntas e respostas.
Responder3
ComoGuy Harrisuma resposta útil sugere: SSDP é HTTP usando UDP para transporte, o que significa que pode ser capturado de forma sucinta por:
(!(http && udp))
o que torna mais fácil continuar filtrando como:
(!(http && udp)) & !ntp & ip.src==192.168.1.1
no meu caso, o SSDP estava sendo usado por um reprodutor Sony Blu-Ray para propaganda, então pude filtrá-lo com:
(!(http && udp && ip.dst==239.255.255.250))
Responder4
Eu tentei http and !udpe não funcionou. No entanto, encontrei os seguintes trabalhos para mim:
http and !(ip.addr == 192.168.0.253 or ip.addr==239.255.255.250 or ipv6.addr == ff02::c)
192.168.0.253é o IP do meu roteador.