Wireshark 常用规则

常用过滤规则：

过滤IP地址：ip.addr == 192.168.47.2 过滤目的地址：ip.dst == 192.168.43.2过滤源地址：ip.src == 59.110.42.77过滤tcp 80端口和udp 80端口数据（ || 表示或）：tcp.port == 80 || udp.port == 80过滤目的端口为80的数据：itcp.dstport==80过滤源端口为80的数据：tcp.srcport==80过滤协议(直接输入协议名称)：http http模式过滤：过滤get包，http.request.method=="GET"过滤post包，http.request.method=="POST"过滤两种条件时，使用and连接:过滤ip为192.168.101.8并且为http协议，ip.src==192.168.101.8 and http过滤端口范围:tcp.port >= 1 and tcp.port <= 80过滤MACeth.dst == A0:00:00:04:C5:84 // 过滤目标maceth.src eq A0:00:00:04:C5:84 // 过滤来源mac

其他功能说明：

追踪一次完整数据交互的流:follow -> TCP Streamfollow -> UDP Stream

附录：

比如post一个表单，假如表单很大的话，会对tcp流进行分片。在wireshark中显示就是"TCP segment of a reassembled PDU"这样一条数据；