wireshark tcp抓包

捕获tcp包
显示过滤器格式（只显示tcp报过滤其他包比如arp、http）
!(tcp.len0x0||tcp.len0x01||http||arp||!(tcp)) && ip.addr == XXX.XXX.XXX.XXX

XXX.XXX.XXX.XXX可以是源地址IP或者目的地址IP，都可以抓取到源IP和目的IP的数据交互报文

实例
!(tcp.len0x0||tcp.len0x01||http||arp||!(tcp)) && ip.addr == 106.13.101.101

tcp交互数据包显示

数据部分数据开始如上图所示7e 00 04 …
tcp数据部分tcp[20] 取数据部分开始前两个字节tcp[20:2] ,[]里面是10进制
偏移21个字节tcp[41:2] （偏移41-20=21个字节）

!(tcp.len==0x0||tcp.len==0x01||http||arp||!(tcp)) && ip.addr == 52.83.165.66 && (tcp[41:2] == 70:00 || tcp[41:2] == 74:00)

讲抓包比较清楚的文章：
Wireshark基本介绍和学习TCP三次握手