抓指定主機icmp包
icmp and ip.host==192.168.168.65
抓指定主機tcp資料報
tcp and ip.host==172.16.10.222
tcp.flags//顯示包含tcp標誌的封包。
tcp.flags.syn == 0×02//顯示包含tcp syn標誌的封包。
（1）對源位址為192.168.0.1的包的過濾，即抓取源位址滿足要求的包。
表示式為：ip.src == 192.168.0.1
（2）對目的位址為192.168.0.1的包的過濾，即抓取目的位址滿足要求的包。
表示式為：ip.dst == 192.168.0.1
（3）對源或者目的位址為192.168.0.1的包的過濾，即抓取滿足源或者目的位址的ip位址是192.168.0.1的包。
表示式為：ip.addr == 192.168.0.1,或者 ip.src == 192.168.0.1 or ip.dst == 192.168.0.1
（5）連線符 and / or
二、針對協議的過濾
（1）僅僅需要捕獲某種協議的資料報，表示式很簡單僅僅需要把協議的名字輸入即可。
表示式為：http
（2）需要捕獲多種協議的資料報，也只需對協議進行邏輯組合即可。 表示式為：http or telnet （
多種協議加上邏輯符號的組合即可）
三、針對埠的過濾（視協議而定）
（1）捕獲某一埠的資料報
表示式為：tcp/udp.port == 80 過濾源或目的埠
tcp/udp.srcport == 80 過濾源埠
tcp/udp.dstport == 80 過濾目的埠
（2）捕獲多埠的資料報，可以使用and來連線，下面是捕獲高階口的表示式
表示式為：udp.port >= 2048
四、針對長度和內容的過濾 四、針對長度和內容的過濾
（1）針對長度的過慮（這裡的長度指定的是資料段的長度）
表示式為：udp.length < 30 httpcontent_length ="20"
tcp.len >= 7 指的是ip資料報(tcp下面那塊資料),不包括tcp本身
ip.len == 94 除了乙太網頭固定長度14,其它都算是ip.len,即從ip本身到最後 frame.len == 119 整個資料報長度,從eth開始到最後
（2）針對資料報內容的過濾
http contains 「get」 http contains 「http/1.」 // get包
http.request.method == 「get」 && http contains 「user-agent: 」 // post包
http.request.method == 「post」 && http contains 「user-agent: 」 // 響應包
四、mac位址過濾
eth.addr == 00:d0:f8:b5:14 過濾源或目標mac
eth.src == 00:d0:f8:b5:14 過濾源mac
eth.dst == 00:d0:f8:b5:14 過濾目標mac
五、排除
（1）排除某種協議的資料報
表示式為：not arp !tcp
（2）要排除以上的資料報，我們只需要將其用括號囊括，然後使用 "!" 即可。
表示式為：!(表示式)
!(arp.src==192.168.1.1) and !(arp.dst.proto_ipv4==192.168.1.243)
ip.src != 10.1.2.3 or ip.dst != 10.4.5.6
//顯示**不為10.1.2.3或者目的不為10.4.5.6的封包。
ip.src != 10.1.2.3 and ip.dst != 10.4.5.6
//顯示**不為10.1.2.3並且目的ip不為10.4.5.6的封包。
Wireshark 抓包過濾規則
一 ip過濾 包括 ip或者目標ip等於某個ip 比如 ip.src addr 192.168.0.208 or ip.src addr eq 192.168.0.208 顯示 ip ip.dst addr 192.168.0.208 or ip.dst addr eq 192.168.0.208 ...
wireshark抓包分析 過濾https資料報
1 tls建立連線時的過濾器 ssl.handshake.type 1 標註1 handshake是tls建立連線時的握手協議，type欄位為1，說明客戶端向服務端發起tls連線 標註2 分組的總數以及過濾後的分組數量及其佔比。如果是cc攻擊，就會發現過濾後的分組數量相當多 2 tls加密傳輸資料的...
wireshark 抓包分析 過濾規則大全
一 過濾http報文 http.host 6san.com 過濾經過指定網域名稱的http資料報，這裡的host值不一定是請求中的網域名稱 過濾http響應狀態碼為302的資料報 過濾所有的http響應包 過濾所有的http請求，貌似也可以使用http.request wireshark過濾所有請求...