wireshark display Filter过滤ARP、HTTP包

（转载）自百度

问：wireshark使用问题 我在Capture Filter中填入：ip src==192.168.1.98 && http

其中192.168.1.98是我本机的

ip,我希望捕获http数据，所以写了http,可以出现以下错误：
Invalid capture filter: "http"!
That string looks like a valid display filter; however, it isn't a valid
capture filter (syntax error).
Note that display filters and capture filters don't have the same syntax,
so you can't use most display filter expressions as capture filters.
See the User's Guide for a description of the capture filter syntax.
该怎么改，请高手指点

答：在主界面Filter栏里输入ip.addr==192.168.1.98&&http就可以了，合法的过滤条件的底色为浅绿色。Capture filter和display filter语法不同，后者的大多数表达法都不:适用于前者。另外，ip.src仅过滤源地址为指定地址的数据包，ip.dst仅过滤目的地址为指定地址的数据包，ip.addr或许才是你需要的。

 

其中192.168.0.100为本主机的IP地址

（1）看到这里ip.src只列出了源地址为192.168.0.100且为HTTP的数据包

（2）看到这里ip.dsc只列出了目标地址为192.168.0.100且为HTTP的数据包

（3）看到这里ip.addr不仅仅列出了源地址为192.168.0.100的，而且列出目标地址为192.168.0.100且为HTTP的数据包

从这里我们可以看到ip.addr等于ip.src和ip.dst的并集。

 

 

显示过滤器的一些操作：

（1）只显示ARP报文

首先为了产生ARP报文，需要清空ARP缓存。

（2）只显示ICMP报文

在虚拟机的linux环境下ping主机产生了ICMP报文，这里就不截图了。

（3）只显示IP报文

这里现实了TCP、UDP、DNS、HTTP、IPV4、BROWSER等报文，因为这些报文都是基于IP报文的，也可以知道一点就是这里IP协议不单独列出。

（4）只显示TCP报文

（5）只显示UDP报文

清除DNS缓存，如下截图，然后打开百度的网址就可以产生DNS报文了。

（6）只显示HTTP报文

转载于:https://www.cnblogs.com/Robotke1/archive/2013/04/27/3046789.html