代码之家 › 专栏 › 技术社区 › M.Hassan

在WireShark捕获的PCap文件中搜索unicode字符串(UTF-16)

unicode-string packet-capture packet wireshark

M.Hassan · 技术社区 · 10 年前

我尝试在Wireshark工具捕获的Pcap文件中搜索字符串。所有从/到sql server的字符串都被格式化为Unicode string(UTF-16)。

当框架包含类似“select”的Unicode字符串时,它显示为“s e l e c t”,字符之间的空格为空字符\x00。

如果使用以下显示过滤器:

  frame contains "s e l e c t"

未过滤帧。

因此,我必须手动将字符串“select”转换为十六进制十进制,并运行显示过滤器:

  frame contains 73:00:65:00:6c:00:65:00:63:00:74:00

它正在工作。

此外,我尝试使用查找工具(在工具栏中),选择了Wide(UTF-16)并输入“s e l e c t”,但它找不到字符串。

我使用WireShark v 2.2.0 sample of data

1 回复 | 直到 10 年前

M.Hassan 10 年前

Q、是否有一种简单的方法来直接过滤Unicode字符串,而不是将字符串转换为十六进制字符串

“matches”运算符允许过滤器应用于与Perl兼容的正则表达式(PCRE)。

对于单词“select”,显示过滤器将为:

  frame matches "s.e.l.e.c.t"

   frame matches "(?i)s.e.l.e.c.t"

(?i)执行不区分大小写的模式匹配。

Q、当我选择文本框Wide(UTF-16)搜索ASCII字符串时,我应该在查找工具中输入什么,例如“select”但作为Unicode字符串

选择“数据包字节”=>选择“窄&宽”=>选择“字符串”

在文本框中输入要搜索的单词,例如“select”。

如果单词存在,则在“压缩字节”区域中找到帧数据

推荐文章

rockstar1820 · 基本授权凭据不会显示在Scapy中?

8 年前

bring112 · 碎片(DF位)对rtt和ttl的影响

8 年前

Exam Orph · Wireshark中的操作码过滤包

8 年前

Riehl Alexandre · 未完全接收到boost::asio::udp异步响应

8 年前

Ruffio · DPDK:修改捕获的数据包头的最有效方法

8 年前

MAChitgarha · 如何使用PHP控制Android数据包?

8 年前

memeKing · Python-数据包处理和修改

8 年前

James Ferry · TCP如何处理数据包丢失-对物理层的影响

8 年前

M.Hassan · 在WireShark捕获的PCap文件中搜索unicode字符串(UTF-16)

10 年前

TychoTheTaco · 从ByteBuffer获取IP数据包数据

10 年前