自定义过滤器：

捕获过滤器就是：对于满足捕获条件的数据包进行捕获。
而对于捕获到的数据包来说，并不一定都是我们想要
让其在 packet list 列表中显示的，因此，我们可以设在显示过滤器中设置条件，从而，只显示我们需要的
数据包。隐藏不想显示的数据包。




显示过滤器：


显示过滤器应用于捕获文件，用来告诉Wireshark只显示那些符合过滤条件的数据包。你可以在Packet List 面板上方的Filter 文本框中，输入一个显示过滤器。


显示过滤器比捕获过滤器更加常用，是因为它可以让你对数据包进行过滤，却并不省略掉捕获文件中的其他数据。也就是说，如果你想回到原先的捕获文件，你仅仅需要清空显示过滤表达式。












几个问题：


1.能否使用Wireshark 来判断某台电脑是否中了病毒？？如何判断？？


2.能否使用Wireshark的统计功能来发现未被授权的网络行为？？？




网络协议是由三个要素组成：语法，语义，时序。


语义：是解释控制信息每个部分的意义。




语法：是用户数据与控制信息的结构和格式，以及数据出现的时序。






现在我们要解决三个问题：


1.BPF的语法内容是什么？？？如何构造表达式？？？
2.如何创建和保存一个显示过滤器？？？如何创建和保存一个捕获过滤器？？？


3.如何查看一个数据包的详细信息？？？并进行分析？？？




在 Wireshark的
packet list


 packet Details   即：数据包细节，它位于中间的面板，分层次的显示了一个数据包中的内容，并且可以通过展开或是收缩来显示这个数据包中所捕获到的全部内容。






packet Bytes  数据包字节










如何保存一个捕获的数据包文件？
步骤：File -->Save as   即可。




（BPF语法定义的表达式，其语法是类似于：T-SQL查询语言）






如何创建自定义的捕获过滤器？？？


我们知道，创建过滤器的本质是：创建一个表达式。
该表达式的组成由：


限定词+限定词+原语+操作符+原语


（其中，原语本身就是：表达式）
操作符：
有：


比较运算符
逻辑运算符


我们来看一下，根据我们所写的表达式的组成不同，过滤器的种类：
1.主机名和地址过滤器
2.端口和协议过滤器
3.协议过滤器
4.协议域过滤器
这四种。




那么，我们今天，就看看如何保存一个自定义的捕获过滤器？
1.capture—》capture Filter 
2.单击new按钮，创建一个新的过滤器。
3.在Filter Name 框中输入，你定义的过滤器的名字
4.在Filter string 框中，输入实际的过滤器表达式。
5.单击save按钮，保存。


（这时，过滤器表达式会被保存到列表中）


下面，我们就看如何保存和自定义一个显示过滤器？？
1.analyze-->Display Filter (这时我们进入：显示过滤器 对话框，我们定义所有的过滤器都是在显示过滤器对话框中完成的)








下面，我们来看，定义过滤器的表达式如何写？？？


1.