三十五：Wireshark的捕获过滤器

Wireshark 是一个广泛使用的网络协议分析工具，主要用于捕获和分析网络流量。它支持丰富的协议分析，并提供了多种过滤方式，以便用户在大量数据中精确地找到自己关注的内容。在Wireshark中，过滤器可以分为两类：捕获过滤器和显示过滤器。本文将重点介绍 Wireshark 的 捕获过滤器，以及它们如何帮助用户提高抓包效率。

什么是捕获过滤器？

捕获过滤器（Capture Filter）用于在网络流量捕获阶段就过滤掉不感兴趣的数据包。与显示过滤器不同，捕获过滤器是在数据包抓取时就进行过滤，确保只有符合特定条件的数据包被捕获并保存到文件中。捕获过滤器通常用于限制Wireshark捕获的网络数据量，减少对系统性能的影响，并更有针对性地捕获用户关心的数据。

捕获过滤器的工作原理

在Wireshark启动抓包前，用户可以设置捕获过滤器。Wireshark将基于过滤条件来决定哪些数据包应当被捕获，哪些不应被捕获。捕获过滤器是基于 BPF（Berkeley Packet Filter） 语法的，因此它们在使用时有一些语法和格式上的限制。

过滤器的格式

Wireshark 的捕获过滤器使用与 Linux 或 BSD 系统中常用的 BPF 语法相似的规则。常见的捕获过滤器语法包括：

• 协议过滤