Wireshark 数据包过滤与分析详解

一、数据包过滤

过滤器允许你找出所希望进行分析的数据包。简单来说，一个过滤器就是定义了一定的条件，用来包含或者排除满足自定义条件的数据包的表达式。如果你不希望看到一些数据包，则可以写一个过滤器来屏蔽它们；如果你希望只看到某些数据包，则可以写一个过滤器来只显示出这些数据包。
Wireshark主要提供两种主要的过滤器。

• 捕获过滤器：当进行数据包捕获时，只有那些满足给定的包含/排除表达式的数据包会被捕获。
• 显示过滤器：该过滤器根据指定的表达式用于一个已捕获的数据包集合，它将隐藏不想显示的数据包，或者只显示那些需要的数据包。

我们先看一下捕获过滤器。

1、捕获过滤器

捕获过滤器用于进行数据包捕获的实际场合，使用它的一个主要原因就是性能。如果你并不需要分析某个类型的流量，则可以简单地使用捕获过滤器过滤掉它，从而节省那些会被用来捕获这些数据包的处理器资源。

当处理大量数据的时候，创建自定义的捕获过滤器是相当好用的。它可以让你专注于那些与你手头事情有关的数据包，从而加速分析过程。

举一个简单的例子，你在一台有多种角色的服务器上捕获流量时很可能会用到捕获过滤器，假设你正在解决一个运行于262端口网络服务的问题，如果你正在分析的那台服务器在许多端口运行了各种不同的网络服务，那么找到并分析只运行于262端口的流量本身可能就具有一定的工作量。

你可以通过前面讨论过的Capture Options对话框到达目的，步骤如下所示。

（1）选择Capture -> Options按钮打开捕获接口对话框。

（2）选择你想进行数据包捕获的设备，然后在最右列选中捕获过滤器。

（3）你可以