networking - 按域过滤

Question

我想按他们的域过滤我的 pcap 文件。我的意思是，我希望看到数据包出现在以“.com”、“.org”或“.net”结尾的网站上。

我试过:
dns 包含“com”，
ip.src_host == com，
ip.src_host == com，
http 包含“com”。他们都没有正确工作。

Answer 1

假设它是 http 网络流量，请尝试 http.host contains ".com"
更好的是，尝试 http.host matches "\.com$"
两者都不需要 DNS 解析，因为它们在 Web 主机上进行搜索。

来自 http://wiki.wireshark.org/DisplayFilters

The matches operator makes it possible to search for text in string fields 
and byte sequences using a regular expression, using Perl regular expression 
syntax. Note: Wireshark needs to be built with libpcre in order to be able to 
use the matches operator.