今天遇见需要过滤tcp协议中数据信息的地方,例如,要过滤一个X11协议是KeyPress的事件。
截图如下:
可以在过滤框这样过滤:
tcp[20:1] == 0x02
这句话的意思是:过滤从TCP协议的头部开始,去掉20个字节(也就是TCP头部是20个字节),然后后面的一个字节值是0x02的报文。
注意是从TCP的位置开始数数,不要从MAC报文开始数
因此可以用这种方式进行灵活过滤,比如,我要过滤上图中tcp.port == 6003的报文,当然可以直接这么过滤,也可以用:
tcp[0:2] == 17:73这种方式。
算了,有人会说多此一举~