Wireshark 过滤规则

1、过滤协议，直接写协议名称

    例子:
    tcp            #TCP(Transmission Control Protocol 传输控制协议)
    udp            #UDP(User Datagram Protocol 用户数据报协议)
    arp            #ARP(Address Resolution Protocol 地址解析协议)
    icmp           #ICMP(Internet Control Message Protocol Internet Internet 控制报文协议)
    http           #HTTP(HyperText Transfer Protocol 超文本传输协议)
    smtp           #SMTP(Simple Mail Transfer Protocol 简单邮件传输协议)
    ftp            #FTP(File Transfer Protocol 文件传输协议)
    dns            #DNS(Domain Name System 域名系统)
    ip             #IP(Internet Protocol IP协议)
    ssl            #SSL(Secure Sockets Layer 安全套阶层)
    oicq           #(openingIseekyou QQ协议)
    bootp          #BOOTP(Bootstrap Protocol，引导程序协议）)
    ......
    排除arp包:   !arp   或者   not arp

2、 过滤源和目的IP地址

 过滤源地址
 ip.src_host eq 192.168.31.106          #相当于
 ip.src_host == 192.168.31.106

 过滤目的地址
 ip.dst_host eq 192.168.31.106          #相当于
 ip.dst_host == 192.168.31.106

 过滤源地址或者目的地址
 ip.addr eq 192.168.31.106                #相当于
 ip.addr == 192.168.31.106

提示： 在Filter编辑框中，收入过虑规则时，如果语法有误，框会显红色，如正确，会是绿色。
例如：
语法正确如下图：

图片.png

语法错误如下图：

图片.png

3、针对端口进行过滤

  例子:
  tcp.port eq 80                    #不管端口是来源的还是目标的都显示，相当于
  tcp.port == 80

  tcp.port eq 80 or udp.port eq 80

  tcp.srcport == 80                 #只显tcp协议的源端口80
  tcp.dstport == 80                 #只显tcp协议的目标端口80

  udp.port eq 15000
  tcp.port >= 1 and tcp.port <= 80  #过滤端口范围

4、过滤MAC地址

  eth.addr eq B4-6D-83-2B-27-D5
  
  eth.src eq B4-6D-83-2B-27-D5 // 过滤来源mac
  eth.dst == B4-6D-83-2B-27-D5 // 过滤目标mac

5、针对http的请求类型进行过滤

  http.request.method == "GET"
  http.request.method == "POST"

====================备注：

  <          lt          less than 小于 
  <=         le          小于等于
  ==         eq          等于
  >          gt          大于
  >=         ge          大于等于 
  !=         ne          不等于

以上个人总结常用过滤方法
更多详情推荐博客：https://blog.csdn.net/hzhsan/article/details/43453251