Wiresharkディスプレイフィルターprotocol == TLSV1?(およびPacketLength)


20

プロトコルがTLSV1であるプロトコルを選択するためのフィルター式は何ですか?protocol == "TLSV1"またはTCP.protocol == "TLSV1"のような明らかなものは、明らかに正しい方法ではありません。

ip.proto ==「TLSV1」は「ip.protoは値として文字列を受け入れることができない」と言います

更新-追加のヒント:

もう1つの優れた隠された検索はPacketLengthにあります。「設定の編集」(メニューまたはアイコン)をクリックして、PacketLengthを新しい列として追加することにより、ディスプレイにパケット長を追加できます。 :frame.len == ###ここで、###は希望する番号です。これを使用して、送信および/または受信されたパケットの数を判断しました。フィルタリングすると、画面の下部にあるステータスバーに、フィルターに一致するアイテムの数が表示されます。

回答:


30

ssl.record.version == 0x0301

これは、TLSセマンティクスを使用したSSL会話であるパケットのみを表示するようにWiresharkに指示します。


わあ、ありがとう!暗号コードの代わりに画面上の単語でフィルタリングできるようです。
NealWalters

やや近い私が欲しかったものとなりました(ただし、SMBとTCPのTLSv1だけでなくなります)「6 == ip.proto」
NealWalters

2
「ip.protoは、」IPヘッダに「プロトコル」フィールドを指す:wireshark.org/docs/dfref/i/ip.html。「ip.proto == 6」は「IPv4で伝送されるTCPパケット」を意味します。Wiresharkのディスプレイフィルタのほとんどは、特定のプロトコルヘッダーの数値に対応しています。
ジェラルドコームズ

8
参考:バージョン値10進16進数------------------------------------- SSL 3.0 3,0 0x0300 TLS 1.0 3,1 0x0301 TLS 1.1 3,2 0x0302 TLS 1.2 3,3 0x0303
ジェイD

4
この答えは本当にssl.handshake.version代わりにあるべきだと思いますssl.record.version。TLSレコードとTLSハンドシェイクレイヤーには違いがあります
接着なし
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.