抓包工具 wireshark
wireshark
过滤器
语法：ProtocolDirectionHost(s)ValueLogicalOperationsOtherexpression
例子：tcpdst10.1.1.180andtcpdst10.2.2.23128
Protocol（协议）:
可能的值:ether,fddi,ip,arp,rarp,decnet,lat,sca,moprc,mopdl,tcpandudp.
如果没有特别指明是什么协议，则默认使用所有支持的协议。
Direction（方向）:
可能的值:src,dst,srcanddst,srcordst
如果没有特别指明来源或目的地，则默认使用"srcordst"作为关键字。
例如，"host10.2.2.2"与"srcordsthost10.2.2.2"是一样的。Host(s):
可能的值：net,port,host,portrange.
如果没有指定此值，则默认使用"host"关键字。
例如，"src10.1.1.1"与"srchost10.1.1.1"相同。
LogicalOperations（逻辑运算）:
可能的值：not,and,or.
否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级，运算时从左至右进行。
例如，
"nottcpport3128andtcpport23"与"(nottcpport3128)andtcpport23"相同。
"nottcpport3128andtcpport23"与"not(tcpport3128andtcpport23)"不同。
例子
tcpdstport3128
显示目的TCP端口为3128的封包。
ipsrchost10.1.1.1
显示来源IP地址为10.1.1.1的封包。
host10.1.2.3
显示目的或来源IP地址为10.1.2.3的封包。
srcportrange2000-2500
显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。
notimcp
显示除了icmp以外的所有封包。（icmp通常被ping工具使用）
srchost10.7.2.12andnotdstnet10.200.0.0/16
显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。
(srchost10.4.1.12orsrcnet10.6.0.0/16)andtcpdstportrange200-10000anddstnet10.0.0.0/8
显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络10.0.0.0/8内的所有封包。
注意事项：
当使用关键字作为值时，需使用反斜杠“\”。
"etherproto\ip"(与关键字"ip"相同).
这样写将会以IP协议作为目标。
"ipproto\icmp"(与关键字"icmp"相同).
这样写将会以ping工具常用的icmp作为目标。
可以在"ip"或"ether"后面使用"multicast"及"broadcast"关键字。
当您想排除广播请求时，"nobroadcast"就会非常有用。
查看TCPdump的主页以获得更详细的捕捉过滤器语法说明。
http://www.ethereal.com/docs/man-pages/tcpdump.8.html
在WikiWiresharkwebsite上可以找到更多捕捉过滤器的例子。
http://wiki.wireshark.org/CaptureFilters
----------------------------------------
过滤显示
snmp||dns||icmp
显示SNMP或DNS或ICMP封包。
ip.addr==10.1.1.1
显示来源或目的IP地址为10.1.1.1的封包。
ip.src!=10.1.2.3orip.dst!=10.4.5.6
显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3以外任意；目的IP：任意
以及
来源IP：任意；目的IP：除了10.4.5.6以外任意
ip.src!=10.1.2.3andip.dst!=10.4.5.6
显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3以外任意；同时须满足，目的IP：除了10.4.5.6以外任意
tcp.port==25
显示来源或目的TCP端口号为25的封包。
tcp.dstport==25
显示目的TCP端口号为25的封包。
tcp.flags
显示包含TCP标志的封包。
tcp.flags.syn==0x02
显示包含TCPSYN标志的封包。