【工具篇】04. 显示过滤器 ❀ 数据包分析工具 Wireshark

        【简介】如果打开的是软件抓包保存的文件，很显然只能用显示过滤器来进行过滤了。显示过滤器不会丢弃数据包，只是为了阅读方便而将一部分数据包隐然起来。

---

  过滤器表达式

　　Wireshark 具备一些强大的特性，这些特性可以在创建过滤器时提供帮助。

        ① 点击显示过滤器右边的【表达式】。

        ② 在过滤器表达示窗口中，可以通过字段名称、关系和值，创建出各种过滤条件。这里打算过滤IP地址为192.168.38.26的所有数据包。

        ③ 生成的过滤条件自动显示在显示过滤器位置，点击向右箭头图标，执行过滤动作。

        ④ 可以看到过滤成功，非此IP的包都看不到了。

        ⑤ 过滤器表达式可以独立保存并快速使用。点击表达式右边的加号图标。给当前表达式添加一个标签，点击【OK】按钮。

        ⑥ 该表达式会以菜单的形式出现在界面上，只要点击表达式标签名，就会立即执行过滤。

        ⑦ 同样，保存的表达式也是可以进行管理的，点击显示过滤器左边的小图标，弹出菜单里选择【管理过滤器表达式】。

        ⑧ 过滤器表达式和过滤器一样也可以增加、删除、复制和修改。

  显示过滤器

        虽然过滤表达式可以快速的建立显示过滤器，但是复杂的显示过滤器还是需要手动输入，例如多个条件。有时候需要使用到比较运算符和逻辑运算符。

运  算  符	描        述
== / eq	等于
!= / ne	不等于
< / lt	小于
<= / le	小于等于
> / gt	大于
>= / ge	大于等于

        ① 创建显示过滤器时使用的比较运算符。

运  算  符	描        述
AND / &&	如果希望表达式的几部分同时为真，就要用AND这个逻辑运算符来连接表达式的几部分。例如，使用ip src == 192.168.1.1 and tcp这个过滤器只会显示来自 ip 192.168.1.1，并且与tcp协议相关的数据包。只有同时满足这两部分的数据包，软件才会显示出来。
OR / ||	如果只要求表达式中的其中一个条件为真，就要使用OR这个逻辑运算符。不过，几个条件同时为真，也满足表达式定义的标准。比如，port 53 或 port 80这个过滤器会显示与端口53(DNS)有关的流量，以及与端口80(HTTP)有关的流量。
NOT / !	如果希望从显示的面板中排除满足某些条件的数据包，就要使用NOT这个软件运算符。比如，!dns这个过滤器会隐藏所有与DNS协议有关的数据包。

        ② 创建显示过滤器时使用的逻辑运算符。

        ③ 除了使用过滤器表达式，手动输入过滤器也可以大大提升网络的性能，输入时会有可用命令提示。

        ④ 使用比较运算符和逻辑运算符建立的显示过滤器。

        ⑤ 可以将经常用到的显示过滤器保存起来，点击显示过滤器左边小图标，弹出子菜单选择【保存该过滤器】。

        ⑥ 修改显示过滤器的名称，点击【OK】保存。

        ⑦ 点击显示过滤器右边的叉号图标，可以删除当前的显示过滤器。

        ⑧ 没有了显式过滤器后立即显示所有的抓包数据。

       ⑨ 点击显示过滤器左边小图标，弹出子菜单里可以快速选择保存了的显示过滤器。

---