WireShark过滤解析HTTP

http://www.cnblogs.com/kxdblog/p/4203924.html

HTTP分析

　　TCP协议规定HTTP进程的服务器端口号为80，通常，由HTTP客户端发起一个请求，建立一个到服务器指定端口（默认是80端口）的TCP连接。(注意这里指的是服务器开发的端口80)HTTP服务器则在那个端口监听客户端发送过来的请求。

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35

http——Packet Counter      http总的统计   http.request.method == "GET" http GET请求 http.response==1  http所有的响应包 http.response==1 && http.response.code==200 响应请求成功的包 http.response==1 && http.response.code==201 201 created 提示知道新文件的URL，成功请求并创建了新的资源 http.response==1 && http.response.code==304 客户端已经缓存，不带响应体 http.response==1 && http.response.code==302 客户端继续使用原有URI   http.request==1 //过滤所有的http请求，貌似也可以使用http.reques http.request.method == "GET" http.request.method == "POST" http.request.uri == "/img/logo-edu.gif" [popexizhi：这个对指定地址访问的url过了非常有用的，make] http contains "GET" http contains "HTTP/1." // GET包 http.request.method == "GET" && http contains "Host: " http.request.method == "GET" && http contains "User-Agent: " // POST包 http.request.method == "POST" && http contains "Host: " http.request.method == "POST" && http contains "User-Agent: " // 响应包 http contains "HTTP/1.1 200 OK" && http contains "Content-Type: " http contains "HTTP/1.0 200 OK" && http contains "Content-Type: " 一定包含如下 Content-Type:   http.host==magentonotes.com 或者http.host contains magentonotes.com //过滤经过指定域名的http数据包，这里的host值不一定是请求中的域名 http.request.method==POST过滤所有请求方式为POST的http请求包，注意POST为大写   http.cookie contains guid //过滤含有指定cookie的http数据包 http.request.full_uri==” http://task.browser.360.cn/online/setpoint” //过滤含域名的整个url则需要使用http.request.full_uri http.content_type == “text/html” //过滤content_type是text/html的http响应、post包，即根据文件类型过滤http数据包 http.server //过滤所有含有http头中含有server字段的数据包 http.request.version == "HTTP/1.1" //过滤HTTP/1.1版本的http包，包括请求和响应