ethereal笔记

1.capture filter 技巧：
  
   a 捕获mac地址为00:d0:f8:00:00:03网络设备的所有报文
              ether host 00:d0:f8:00:00:03
   b捕获IP地址为172.17.56.254网络设备通信的所有报文：
             host 172.17.56.254
    c 捕获网络web浏览的所有报文
      tcp port 80
    d 捕获 172.17.56.254除了http外的所有通信数据报文
       host 172.17.56.254 and not tcp port 80
2.如果以默认主机和端口的设置捕获tcp/ip报文，你将看不到自身的arp报文。
3.Filter string语法输入的格式：
   [src|dst] host <host>
   ether [src|dst] host <ehost>
   gateway host<host>
   [src|dst] net<net> [{mask<mask>}|{len<<len>}
   [tcp|udp] [src|dst} port <port>
    less|greater <length>
   iplether proto <protocol>
   ether/ip broadcast|multicast
   <expr> relop <expr>
4符号在Filter String 语法中的定义
Equal：eq，==
Not equal: ne,!=
Greater than: gt, >
less than: lt, <
greater than or Equal to : ge , >=
less than or equal to : le, <=
5  Display filter 显示过滤
a  eth.addr=00.d0.f8.00.00.03
b  ip.addr=172.17.56.254
c  tcp.port=80
d  ip.addr=192.168.10.1&&tcp.prot!=80