显示过滤表达式中操作符.docxVIP

显示过滤表达式中操作符： ==eq等于！=ne不等于gt高于lt低于=ge不高于=le不低于?contains包含某个字符?match某串字符匹配某个条件and逻辑与||or逻辑或！not逻辑非 如何设置显示过滤器： 在显示过滤器工具条Filter输入框内直接输入显示过滤语句 如何将数据包的某个属性指定为过滤条件： 右键数据包的某个属性选择apply as filter（直接作为显示过滤器使用）或prepare a filter（作为有待应用的显示过滤器）即可应用显示过滤器 如何获悉显示过滤器包含的参数： 选中协议中的某个字段，对应过滤参数显示在底部状态栏 如何把数据包某个属性作为数据包列表新列： 选中某个属性右键apply as column即可把数据包某个属性作为数据包列表新列 Ethernet过滤器 eth.addr==?? 显示具有指定MAC地址的数据帧eth.src ==?? 显示具有指定源MAC地址的数据帧eth.dst==?? 显示具有指定目的MAC地址的数据帧eth.type==? 显示指定以太网类型的流量eth.dst==ffff.ffff.ffff ?? 显示以太网广播帧 ARP过滤器 arp.opcode==?? 显示指定类型的ARP帧 arp.opcode==1 ARP请求帧arp.opcode==2 ARP应答帧arp.src.hw_mac== 只显示指定MAC地址主机发出的ARP帧 以下附上ARP数据包包头格式以供参考： IP过滤器 Ip.addr==?? 显示发往或源自指定IP地址的数据包ip.src==??? 显示指定源IP地址的数据包ip.dst==? 显示指定目的IP地址的数据包ip.ttl==value ? ip.ttl value??? 显示IP包头中TTL字段值为指定值得数据包ip.len==value ip.len value? 显示指定长度的IP数据包ip.version==4/6? 显示指定IP版本号的IP数据包ipv6.addr=? 显示发往或源自指定IPv6地址的数据包 以下附上IP数据包包头格式以供参考： 复杂的过滤器 以下是几个复杂一些的过滤语句： ip.src==/24 and http.host contains sohu?????????? 显示/24网络的主机，发送包含sohu字符串的所有流量ip.addr==/24 and http.host matches \.com$?????? 显示/24网络的主机，访问域名以.com结尾的网站的所有流量ip.src==/24 and eth.dst==ffff.ffff.ffff?????????????????? 显示源于/24网络的的所有IP广播地址not arp and eth.dst==ffff.ffff.ffff?????????????????????????????? 显示 所有广播包，但ARP请求所触发的广播包除外not arp and not icmp?????????????????????? 显示除ARP和ICMP外的所有流量 TCP/UDP过滤器 tcp.port==?????? 显示指定的TCP源，目的端口（比如：tcp.port==80）tcp.dstport==?? 显示指定的TCP目的端口tcp.srcport==??? 显示指定的TCP源端口tcp.analysis????? 分析TCP性能有关参数????? ??? tcp.analysis.retransmission 显示重传的tcp数据包??? tcp.analysis.duplicate_ack 显示确认多次的tcp数据包??? tcp.analysis.zero_windows 显示含零窗口通告信息的TCP数据包tcp.flags? 检查数据包TCP头部中的标记位?? tcp.flags.syn==1?? 显示syn置1的数据包?? tcp.flags.reset==1?? 显示reset置1的数据包?? tcp.flags.fin==1??? 显示fin置1的数据包tcp.window_size_value ?????? 显示tcp头部窗口大小字段低于指定值得数据包tcp.stream eq ???? 显示某条TCP连接从建立到终结，回话双方生成的所有数据包（比如：tcp.stream eq 0） 提示如何跟随一条TCP流：右键想要查看完整TCP数据流的TCP包，选择follow-tcp stream既可跟随tcp流 以下附上TCP数据包包头格式以供参考： HTTP过滤器 ht