wireshark常见过滤规则

三次握手相关

# 筛选syn包
tcp.flags.syn == 1
# 筛选握手第一个包
tcp.flags.syn == 1 && tcp.flags.ack == 0
# 筛选握手第二个包 syn ack包
tcp.flags.syn == 1 && tcp.flags.ack == 1
# 筛选第三个包
tcp.flags.ack == 1 && tcp.flags.syn == 0

# 筛选握手过程中被RST的包
tcp.flags.reset== 1

# 检查syn重传
tcp.analysis.retransmission && tcp.flags.syn == 1
# 检查sys ack重传
tcp.analysis.retransmission && tcp.flags.syn == 1 && tcp.flags.ack == 1
# 查看ack重传
tcp.analysis.retransmission && tcp.flags.ack == 1 && tcp.flags.syn == 0

五元组相关

# ip
ip.src == 192.168.1.1
ip.dst == 192.168.1.2
ip.addr == 192.168.1.3

# port
tcp.srcport == 80
tcp.dstport == 443
tcp.port == 22

# protocal
http
dns
tcp
udp

# mac
eth.src == 00:11:22:33:44:55
th.dst == 66:77:88:99:AA:BB

# 匹配http状态码
http.response.code == 200

# 筛选tcp stream, idx查看：点进去一个包，点开tcp头，有个字段stream index
tcp.steam==2345

四次挥手相关

# 筛选fin包
tcp.flags.fin == 1 && tcp.flags.ack == 0