Wireshark学习篇(2)---过滤规则

Wireshark捕获的数据包种类复杂、繁多，通过过滤规则能较快的捕获我们关注的数据包，可以捕获经过指定IP的数据包，按照分类可以分为捕获过滤、显示过滤。

显示过滤：可以完整的复现测试时的网络环境，但会产生较大的捕获文件和内存占用。

捕获过滤：在capture option中设置，仅捕获符合条件的包，可以避免产生较大的捕获文件和内存占用，但不能完整的复现测试时的网络环境。

Wireshark过滤指定IP收发数据包示例：

（1）抓取所有目标地址是192.168.1.2或者192.168.1.3端口是80的TCP数据

(tcp port 80) and ((dst host 192.168.1.2) or (dst host 192.168.1.3))//捕获过滤

tcp.port==80&&(ip.dst==192.168.1.2||ip.dst==192.168.1.3) //显示过滤

（2）抓取所有目的网络是192.168，但是目的主机不是192.168.1.2的TCP数据

(tcp) and ((dst net 192.168) and (not dst host 192.168.1.2))

tcp&&ip.dst==192.168.0.0/16&&!(ip.dst==192.168.1.2)

（3）捕获主机192.168.1.1接收或者发出的telnet包，telnet使用tcp 23端口

tcp port 23 and host 192.168.1.1

tcp.port==23&&ip.addr==192.168.1.1

上面只列举几个例子。

另外看到一个博客中介绍这块的也比较具体，可参考：http://www.cnblogs.com/einyboy/archive/2012/12/12/2815080.html