wireshark抓包过滤手法

抓包过滤器语法和实例：

1 抓包过滤器类型Type（host，net，port）
2 方向Dir（src，dst）
3 协议Proto（ether，ip，tcp，udp，http，icmp，ftp等）
逻辑运算符（&& 与，||或，！非）

协议过滤

在抓包过滤框中直接输入协议名即可，tcp，只显示tcp协议的数据包列表

IP过滤

host 192.168.1.104 （查询所有这个ip的数据包）
src host 192.168.1.104（查找源地址）
ip.src = = 192.168.1.104
dst host 192.168.1.104 （查找目的地址）
ip.dst = = 192.168.1.104

端口过滤

port 80（所有是80端口的数据包）
src port 80 （源地址有80端口的数据包）
dst port 80 （目的地址有80端口的数据包）

逻辑运算符&&与，||或，！非

src host 192.168.1.104 && dst port 80 （抓取主机地址为192.168.1.80 ，目的端口为80的数据包）
host 192.168.1.104 || host 192.168.1.102 （抓取主机为192.168.1.104或者192.168.1.102的数据包
!broadcast （不抓取广播数据包）

显示过滤器语法和实例

比较运算符

比较操作符有 ==等于，!= 不等于，>大于 ，<小于，>=大于等于，<=小于等于。

协议过滤

直接在Filter框中直接输入协议名即可，协议名字需要输入小写，比如tcp，http，icmp

ip过滤

ip.src = = 192.168.1.104 （显示源地址为192.168.1.104的数据包列表）
ip.dst = =192.168.1.104，（显示目标地址为192.168.1.104的数据包列表）
ip.addr = = 192.168.1.104 （显示源地址或目标ip地址为192.168.1.104的数据包列表）

端口过滤

tcp.port = = 80，（显示源主机或者目标主机端口为80的数据包列表），
tcp.srcport = =80，（只显示tcp协议的源主机端口为80的数据包列表）。
tcp.dstport = =80（只显示tcp协议的目的主机端口为80的数据包列表）

Http模式过滤之一

http.request.method = =“GET”，（只显示HTTP，get方法的）
http.request.method = =“POST”，（只显示HTTP，post方法的）

逻辑运算符为and/or/not

过滤多个条件组合时，使用and/or，比如获取ip地址为192.168.1.104的icmp数据包表达式为
ip.addr = = 192.168.1.104 and icmp

按照数据包内容进行过滤

假如我要以IMCP层中的内容进行过滤，可以单击选中界面的码流，在下方进行选中数据，右键->准备过滤器->选中->添加条件表达式，如data contains “uestc”