wireshark过滤表达式&wireshark捕获ftp协议分析

本文的主题，记录学习Wireshark的一些问题。首先Wireshark是一个网络封包分析软件，其功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料，你可以把它想像成 “电工技师使用电表来量测电流、电压、电阻” 的工作 - 只是将场景移植到网络上，并将电线替换成网络线。

网上下载好wireshark一路默认前进安装后就可以进入wireshark，我们可以看到主要界面大概是这样的。如果底下显示“找不到接口”，你可以尝试管理员打开wireshark解决。

选择无线网就可以看到一个吊炸天的界面（当然大家对应自己想捕获的网络进行选择）

我们用wireshark的目的是捕获数据包再做后续处理（了解还不深入，更多的作用以后用到了再和大家分享），所以现在出现了这么一大堆结果难道要我们在MMP的九千多行中找结果吗，肯定不是哇，所以进入第一个知识点Wireshark过滤表达式。

一、过滤表达式

在顶上有一个搜索栏就是我们写过滤表达式的地方。主要实用有针对性的一些过滤表达式有按协议过滤；按目的端口过滤；按源IP地址过滤；按目的MAC地址过滤；针对长度和内容的过滤等，我们逐个说明，读者可以在自己wireshark进行实验（有点像在写sql的where语句，对的语句搜索栏是绿色的，有错误就是红色的）。

1、针对IP地址的过滤
Cmd输入ipconfig

（1）对源地址为10.136.157.37的包的过滤，即抓取源地址满足要求的包。
表达式为：ip.src ==10.136.157.37
（2）对目的地址为10.136.157.37的包的过滤，即抓取目的地址满足要求的包。
表达式为：ip.dst ==10.136.157.37
（3）对源或者目的地址为10.136.157.37的包的过滤，即抓取满足源或者目的地址的ip地址是10.136.157.37的包。
表达式为：ip.addr ==10.136.157.37或者ip.src ==10.136.157.37 or ip.dst ==10.136.157.37
（4）要排除以上的数据包，我们只需要将其用括号囊括，然后使用 “!”或者”not”即可。
表达式为：!(表达式) not（表达式）

2、针对协议的过滤
（1）仅仅需要捕获某种协议的数据包，表达式很简单仅仅需要把