Wireshark使用技巧

經常使用快捷鍵：

Ctrl-F: 打開Find Packet窗口

Ctrl-N: 下一個匹配的數據包

Ctrl-B: 上一個匹配的數據包

Ctrl-M: 標記選中的數據包/取消標記

Shift-Ctrl-N: 下一個已標記的數據包

Shift-Ctrl-B: 上一個已標記的數據包

Ctrl-T: 設定當前數據包爲相對參考

捕獲過濾器表達式（BPF語法）

一個表達式包含: n個原語 + 操做符 （n能夠爲1）

一個原語包含: n個限定詞 + ID/數字 （一個ID/數字的例子，IP/Port）

BPF限定詞，以下表:

限定詞	說明	例子
Type	ID/數字所表明的意義	host，net，port
Direction	表示數據包的方向，源或目的	src，dst
Protocol	協議	ether，ip，tcp，udp，http，ftp

操做符包括: 與或非（&&，||，！）

一個綜合的例子: dst host 192.168.0.10 && tcp port 80

顯示過濾器

支持的比較操做符: ==，!=，>，<，>=，<=

支持的邏輯操做符: and，or，xor，not

經常使用的顯示過濾器（來自Wireshark數據包分析實戰）

過濾器	說明
!tcp.port==3389	排除RDP流量
tcp.flags.syn==1	具備SYN標誌位的TCP數據包
tcp.flags.rst==1	具備RST標誌位的TCP數據包
!arp	排除ARP流量
http	全部HTTP流量
tcp.port==23 || tcp.port ==21	Telnet/FTP
smtp || pop || imap	email