Wireshark 技巧75 条

Wireshark 按 TTL 过滤

ip.ttl 过滤 TTL 值：可推断对端初始 TTL（64/128/255）与经过的跳数，也可帮助判断某包是否来自异常路径或伪造源。

用途	按 IP TTL 过滤与推断跳数
语法	ip.ttl < 64 / ip.ttl == 128 等

常用示例

ip.ttl < 64 && ip.src == 203.0.113.10
ip.ttl == 1
dns && ip.ttl < 60

常见初始值：Linux/Unix 64、Windows 128、网络设备 255；初始值减当前值≈跳数。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌