在wireshark意义上的UDP [number]

Question

当我们添加UDP [50]时，在线鲨数据过滤选项中，所以这是50，它是索引吗？我在UDP [50]处有十六进制值93。在附加的屏幕截图值93是在udp [50]但是这个索引的起点在哪里，就像在哪里是udp [0]。 我想知道有线鲨鱼包下数据的起始索引。什么是这个UDP [这个数字] ??

Answer 1

udp [x]从传输层的开头（例如UDP）开始，从零开始。 UDP报头是8个字节，因此在过滤有效负载时，您需要考虑这8个字节。

一些例子：

udp[0-1] == 0035 # Match bytes 0 to 1 (UDP source port)
udp[0:2] == 0035 # Match 2 bytes starting from 0 (same as above)

udp[8-10] == 5600:22 # Match bytes 8 to 10 (First 3 bytes of UDP payload)
udp[8:3] == 5600:22 # Matches 3 bytes starting from 8 (same as above)

如果您的有效负载被解码为数据，您也可以使用data.data [x]，这样您就不必将过滤器偏移8.但要小心，因为如果Wireshark解码，它将无法匹配UDP有效负载与其他协议一样。