WireShark 提供两种过滤器,分别是捕获过滤器和显示过滤器。捕获过滤器是进行包捕获时进行过滤,只捕获过滤规则之内的数据包。而显示过滤器是在捕获数据包之后,只显示过滤规则之内的数据包。
捕获过滤器:
捕获过滤器应用于Winpcap,使用Berkeley Packet Filter(BPF)语法。使用BPF创建的过滤器称为表达式,通常一个表达式由一个或多个原语以及零个及以上操作符组成。一个原语往往由一个或多个限定词然后跟一个ID名字或数字组成。一个表达式样例如下:
BPF限定词:
限定词 | 说明 |