Wireshark显示过滤器

显示过滤器指的是针对已经捕获的报文，过滤出符合过滤规则的报文

比较操作符

== 		等于
!= 		不等于
>		大于
<		小于
>=		大于等于
<=		小于等于

逻辑操作符

and		两个条件同时满足
or		其中一个条件被满足
xor		有且仅有一个条件被满足
not		没有添加被满足

IP地址过滤

ip.addr
ip.src
ip.dst

• 过滤IP地址案例

ip.addr==192.168.1.1
ip.src==192.168.1.1
ip.dst==192.168.1.1
ip.src==192.168.1.100 and ip.dst==192.168.1.1

端口过滤

tcp.port
tcp.srcport
tcp.dstport
tcp.flag.syn
tcp.flag.ack

• 过滤端口案例

tcp.port == 80
tcp.srcport == 80
tcp.dstport == 80
tcp.flag.syn == 1
tcp.flag.ack == 2

协议过滤

arp
ip
icmp
udp
tcp
bootp
dns

• 过滤协议案例

arp
tcp
udp
not http
not arp

• 综合过滤案例

ip.src == 192.168.1.100 and tcp.dstport == 80
ip.addr == 192.18.1.106 and udp.port == 4000

表达式语法正确，Filter栏背景色为绿色显示，Enter（回车）后，过滤显示符合对应条件的封包，语法错误背景色为红色，Enter（回车）后，会弹出错误提示信息，不会显示出对应条件的封包