TCP头部标记位笔记

SYN：用来表示打开连接
FIN：用来表示拆除连接
ACK: 用来确认(通过TCP连接)收到的数据
RST:用来表示立刻拆除连接
PSH: 用来表示应将数据提交给末端应用程序(进程)处理
URG:（紧急数据)位（表示紧急指针字段有效，一般不用)

tcp[13] & 0x00 = 0： 用来抓取所有标记位都未置1的TCP流量(在怀疑遭遇了空扫描[null scan]攻击时使用)
tcp[13] & 0x01 = 1 用来抓取FIN位置1，但ACK位置0的TCP流量
tcp[13] & 0x03 = 3 用来抓取SYN和FIN同时位置1的TCP流量
tcp[13] & 0x05 = 5 用来抓取RST和FIN同时位置1的TCP流量
tcp[13] & 0x06 = 6 用来抓取SYN和RST同时位置1的TCP流量
tcp[13] & 0x08 = 8 用来抓取PSH位置为1，但ACK位置为0的TCP流量

！或not
&& 或 and
|| 或 or

tcp dst port 23 and tcp src portrange 5000-6000 抓取tcp源端口5000-6000的Telnet流量

is present 符合某项参数、满足某个条件，或出现某个现象 http.response
contains 包含某个(串)字符 http.host contains cisco
match 某串字符匹配某个条件 http.host matches www.yumin.com

eth.addr == 《MAC Address》 （‘<’这个括号在这个编辑软件中是注释的意思，所以用这个标记了) MAC地址
arp.opcode = 《value》 让wires hark只显示指定类型的ARP帧(ARP帧按其所含操作代码字段值，可分为：ARP应答帧、ARP响应帧、RARP应答帧、RARP响应帧).
ip.ttl == 《value》 IP的ttl值

tcp.flags:该参数一经调用，Wireshark就会检查数据包TCP头部各标记位的置位情况.
tcp.flags.syn == 1:用来让Wireshark显示SYN标记位置1的TCP数据包
tcp.flags.reset == 1:用来让Wireshark显示RST标记位置1的TCP数据包
tcp.flags.fin == 1:用来让Wireshark显示FIN标记位置1的TCP数据包