SYN:用来表示打开连接
FIN:用来表示拆除连接
ACK: 用来确认(通过TCP连接)收到的数据
RST:用来表示立刻拆除连接
PSH: 用来表示应将数据提交给末端应用程序(进程)处理
URG:(紧急数据)位(表示紧急指针字段有效,一般不用)
tcp[13] & 0x00 = 0: 用来抓取所有标记位都未置1的TCP流量(在怀疑遭遇了空扫描[null scan]攻击时使用)
tcp[13] & 0x01 = 1 用来抓取FIN位置1,但ACK位置0的TCP流量
tcp[13] & 0x03 = 3 用来抓取SYN和FIN同时位置1的TCP流量
tcp[13] & 0x05 = 5 用来抓取RST和FIN同时位置1的TCP流量
tcp[13] & 0x06 = 6 用来抓取SYN和RST同时位置1的TCP流量
tcp[13] & 0x08 = 8 用来抓取PSH位置为1,但ACK位置为0的TCP流量
!或not
&& 或 and
|| 或 or
tcp dst port 23 and tcp src portrange 5000-6000 抓取tcp源端口5000-6000的Telnet流量
is present 符合某项参数、满足某个条件,或出现某个现象 http.response
contains 包含某个(串)字符 http.host contains cisco
match 某串字符匹配某个条件 http.host matches www.yumin.com
eth.addr == 《MAC Address》 (‘<’这个括号在这个编辑软件中是注释的意思,所以用这个标记了) MAC地址
arp.opcode = 《value》 让wires hark只显示指定类型的ARP帧(ARP帧按其所含操作代码字段值,可分为:ARP应答帧、ARP响应帧、RARP应答帧、RARP响应帧).
ip.ttl == 《value》 IP的ttl值
tcp.flags:该参数一经调用,Wireshark就会检查数据包TCP头部各标记位的置位情况.
tcp.flags.syn == 1:用来让Wireshark显示SYN标记位置1的TCP数据包
tcp.flags.reset == 1:用来让Wireshark显示RST标记位置1的TCP数据包
tcp.flags.fin == 1:用来让Wireshark显示FIN标记位置1的TCP数据包