WireShark 过滤表达式

常用关键字

关键字	含义
eq / ==	等于
and	且
or	或
!/not	非

过滤ip地址

1. 过滤源ip地址

   ip.src == 192.168.0.1
   

2. 过滤目的ip地址

   ip.dst == 192.168.0.1
   

3. 抓取满足源或者目的地址的ip地址是192.168.0.1的包

   ip.addr == 192.168.0.1,或者 ip.src == 192.168.0.1 or ip.dst == 192.168.0.1
   

过滤协议

　　1. 仅仅需要捕获某种协议的数据包
　　
　　 表达式为：http

　　2. 需要捕获多种协议的数据包，也只需对协议进行逻辑组合即可。
　　
　　 表达式为：http or telnet （多种协议加上逻辑符号的组合即可）
　　
　　3. 排除某种协议的数据包
　　
　　 表达式为：not arp !tcp

过滤端口

<