過濾源ip、目的ip
在wireshark的過濾規則框filter中輸入過濾條件。如查詢目的位址為192.168.101.8的包，ip.dst==192.168.101.8；查詢源位址為ip.src==1.1.1.1
埠過濾
如過濾80埠，在filter中輸入，tcp.port==80，這條規則是把源埠和目的埠為80的都過濾出來。使用tcp.dstport==80只過濾目的埠為80的，tcp.srcport==80只過濾源埠為80的包
協議過濾
比較簡單，直接在filter框中直接輸入協議名即可，如過濾http的協議
http模式過濾
如過濾get包，http.request.method=="get",過濾post包，http.request.method=="post"
連線符and的使用
過濾兩種條件時，使用and連線，如過濾ip為192.168.101.8並且為http協議的，ip.src==192.168.101.8 and http。
工作中，一些使用方式
調整時間格式
然後再排序下。根據時間字段
根據埠過濾
服務端埠是7018，和客戶端建立socket連線，根據服務端的埠找到2者通訊的所有socket資料（客戶端進入房間後會異常斷開，判斷是客戶端導致的還是服務端導致的）
tcp.port==7018，最後的rst報文是服務端發起的，說明是服務端主動斷開的，縮小問題範圍
僅從抓包資訊看是伺服器的乙個流量控制機制啟動了。伺服器發回rst位，同時win置為0，是告訴客戶端不要發包。按tcp流控機制來說，此時客戶端應該停止發包，直至伺服器傳送資訊告訴客戶端可以繼續傳送。
tcp連線:syn ack rst utg psh fin
三次握手：傳送端傳送乙個syn=1，ack=0標誌的資料報給接收端，請求進行連線，這是第一次握手；
接收端收到請求並且允許連線的話，就會傳送乙個syn=1，ack=1標誌的資料報給傳送端，告訴它，可以通訊了，並且讓傳送端傳送乙個確認資料報，這是第二次握手；
最後，傳送端傳送乙個syn=0，ack=1的資料報給接收端，告訴它連線已被確認，這就是第三次握手。之後，乙個tcp連線建立，開始通訊。
*syn：同步標誌
同步序列編號(synchronize sequence numbers)欄有效。該標誌僅在三次握手建立tcp連線時有效。它提示tcp連線的服務端檢查序列編號，該序列編號為tcp連線初始端(一般是客戶端)的初始序列編號。
在這裡，可以把 tcp序列編號看作是乙個範圍從0到4，294，967，295的32位計數器。通過tcp連線交換的資料中每乙個位元組都經過序列編號。
在tcp報頭中的序列編號欄包括了tcp分段中第乙個位元組的序列編號。
*ack：確認標誌
確認編號(acknowledgement number)欄有效。大多數情況下該標誌位是置位的。tcp報頭內的確認編號欄內包含的確認編號(w+1，figure-1)為下乙個預期的序列編號，同時提示遠端系統已經成功接收所有資料。
*rst：復位標誌
復位標誌有效。用於復位相應的tcp連線。
*urg：緊急標誌
緊急(the urgent pointer) 標誌有效。緊急標誌置位，
*psh：推標誌
該標誌置位時，接收端不將該資料進行佇列處理，而是盡可能快將資料轉由應用處理。在處理 telnet 或 rlogin 等互動模式的連線時，該標誌總是置位的。
*fin：結束標誌
帶有該標誌置位的資料報用來結束乙個tcp回話，但對應埠仍處於開放狀態，準備接收後續資料。
tcp的幾個狀態對於我們分析所起的作用。在tcp層，有個flags欄位，這個欄位有以下幾個標識：syn, fin, ack, psh, rst, urg.其中，對於我們日常的分析有用的就是前面的五個字段。它們的含義是：syn表示建立連線，fin表示關閉連線，ack表示響應，psh表示有 data資料傳輸，rst表示連線重置。
其中，ack是可能與syn，fin等同時使用的，比如syn和ack可能同時為1，它表示的就是建立連線之後的響應，如果只是單個的乙個syn，它表示的只是建立連線。
tcp的幾次握手就是通過這樣的ack表現出來的。但syn與fin是不會同時為1的，因為前者表示的是建立連線，而後者表示的是斷開連線。
rst一般是在fin之後才會出現為1的情況，表示的是連線重置。一般地，當出現fin包或rst包時，我們便認為客戶端與伺服器端斷開了連線；
而當出現syn和syn＋ack包時，我們認為客戶端與伺服器建立了乙個連線。
psh為1的情況，一般只出現在data內容不為0的包中，也就是說psh為1表示的是有真正的tcp資料報內容被傳遞。tcp的連線建立和連線關閉，都是通過請求－響應的模式完成的。
Wireshark 常用過濾方法
說明 在wireshark的過濾規則框filter中輸入過濾條件 指定目的地ip.dst 192.168.1.104指定源位址ip.src 178.212.3.56源埠 目的埠為80的都過濾 tcp.port 80過濾目的80埠 tcp.dstport 80 過濾源80埠 tcp.srcport 8...
Wireshark 常用過濾使用方法
過濾源 ip 目的 ip 在 wireshark 的過濾規則框 filter 中輸入過濾條件。如查詢目的位址為192.168.101.8的包，ip.dst 192.168.101.8 查詢源位址為ip.src 1.1.1.1埠過濾 如過濾 80 埠，在 filter 中輸入，tcp.port 80，...
wireshark 常用過濾命令
1.過濾源ip 目的ip。在wireshark的過濾規則框filter中輸入過濾條件。如查詢目的位址為192.168.101.8的包，ip.dst 192.168.101.8 查詢源位址為ip.src 1.1.1.1 2.埠過濾。如過濾80埠，在filter中輸入，tcp.port 80，這條規則是...