Wireshark中的一些SNMP相關的過濾器

由於現在的工作是在網管產品上，時不時需要抓snmp包來定位問題。原來我只知道『snmp』這個過濾器，在資料量不多時，這個過濾器也夠用了，但是一到產品環境下，那顯示的條數還是太多了，每次要從那麼多packet裡找到你想要的包都要用search找一下，找完第一條，又找下一條，無聊啊...

今天沒啥事就google了一把，發現以前自己真的是土到家了，完全可以根據oid，或者value來進行過濾。

例子1：根據request或者response 所繫結的oid來進行過濾

snmp.name contains 1.3.6.1.4.1.6387.9000.216.1.5.2.2.1.11

這是個非常有用的過濾器，因為snmp裡的get/set都是需要指定oid的。

如果只想輸出response裡的，可以加上個條件：

snmp.get_response && （snmp.name contains 1.3.6.1.4.1.6387.9000.216.1.5.2.2.1.11）

例子2：根據response裡value欄位來過濾，這種情況下需要先知道value的型別，因為wireshark過濾器裡的snmp.value後面得有個型別才行（注意：snmp的response裡是可以有多個value的）

snmp.value.oid == 1.3.6.1.4.1.6387.400.10.16 只要response裡有乙個value,它的型別是oid，並且值是1.3.6.1.4.1.6387.400.10.16就輸出到結果中

snmp.value.int == 123456 只要response裡有乙個value,它的型別是int，並且值是1234就輸出到結果中

snmp.value.octets contains "abc" 只要response裡有乙個value,它的型別是octetstring，並且值裡包含了abc就輸出到結果中 (注意，大小寫在這裡是一樣的)

這裡需要指出的是wireshark裡顯示的octetstring類的值不是「abc"這樣的格式，而是abc對應的ascii碼得十六進製制數值，比如 abc對應的就是616263

snmp.value.octets matches "^m" 只要response裡有乙個value,它的型別是octetstring，並且值是以m開頭的話，就輸出到結果中

snmp.value.octets matches "m$" 只要response裡有乙個value,它的型別是octetstring，並且值是以m結束的話，就輸出到結果中

這裡matches後面其實就個正規表示式，你可以發揮自己的想象去寫。