Wireshark过滤器规则

一、Wireshark过滤器
Wireshark主要提供两种主要的过滤器

1、捕获过滤器：当进行数据包捕获时，只有那些满足给定条件的包含/排除表达式的数据

包会被捕获。选择capture->interfaces-->options,打开capture options对话框，在capture filter输入相关语句。
1）捕获过滤器的BPF语法：
Type：指出名字或数字所代表的意义 eg：host、net、port
Dir:  指出传输方向是前往还是来自名字或数字  eg：src dst
Proto：限定所要匹配的协议   eg：ether、ip、tcp、udp、http、ftp
2）列举例子：
host 172.20.21.241  捕获所有和该IP相关的流量
ether host 00-50-56-C0-00-08  MAC地址进行过滤
src host 172.20.21.241  捕获来自该IP主机的流量（同src 172.20.21.241）
dst host 172.20.21.241  捕获目的该IP主机的流量（同dst 172.20.21.241）
port 8080  只对8080端口进行流量捕获
!port 8080  非8080端口
dst port 80 只捕获前往监听端口80的Web流量
icmp ICMP流量

只捕获带有FIN···标志的TCP数据包，详见TCP格式
tcp[13]&1==1  设置了FIN位的TCP数据包
tcp[13]&2==2  设置了SYN位的TCP数据包
tcp[13]&8==8  设置了PSH位的TCP数据包
tcp[13]&32==32 设置了URG位的TCP数据包

broadcast  仅广播流量
icmp[0:2]==0x0301  ICMP目标不可达，主机不可达
ip         仅IPv4流量
ip6        仅IPv6流量
udp        仅UDP流量

2、显示过滤器：指定表达式用于在一个已捕获的数据包集合中，隐藏不想显示的数据包，或者只显示那些需要的数据包
1）、列举例子：
!tcp.port==3389   排除RDP流量
tcp.flags.syn==1 具有SYN标志位的TCP数据包
tcp.flags.rst==1 具有RST标志位的TCP数据包
!arp  排除ARP流量
http  所有HTTP流量
tcp.port==23 || tcp.port 21 文本管理流量（telnet或FTP）

smtp || pop || imap    文本email流量（SMTP、POP或IMAP）