WireShark 过滤表达式

常用关键字

关键字	含义
eq / ==	等于
and	且
or	或
!/not	非

过滤ip地址

1. 过滤源ip地址

   ip.src == 192.168.0.1
   

2. 过滤目的ip地址

   ip.dst == 192.168.0.1
   

3. 抓取满足源或者目的地址的ip地址是192.168.0.1的包

   ip.addr == 192.168.0.1,或者 ip.src == 192.168.0.1 or ip.dst == 192.168.0.1
   

过滤协议

　　1. 仅仅需要捕获某种协议的数据包
　　
　　 表达式为：http

　　2. 需要捕获多种协议的数据包，也只需对协议进行逻辑组合即可。
　　
　　 表达式为：http or telnet （多种协议加上逻辑符号的组合即可）
　　
　　3. 排除某种协议的数据包
　　
　　 表达式为：not arp !tcp

过滤端口

1. 捕获某一端口的数据包

   　　 表达式为：tcp.port == 80
   　　

2. 捕获多端口的数据包，可以使用and来连接，下面是捕获高端口的表达式

   　　 表达式为：udp.port >= 2048

过滤长度和内容

1. 针对长度的过滤（这里的长度指定的是数据段的长度）

   　　 表达式为：udp.length < 30 http.content_length <=20
   　　

2. 针对数据包内容的过滤

   　　　　 表达式为：http.request.uri matches “vipscu” （匹配http请求中含有vipscu字段的请求信息）