一、Wireshark过滤器
Wireshark主要提供两种主要的过滤器
1、捕获过滤器：当进行数据包捕获时，只有那些满足给定条件的包含/排除表达式的数据
包会被捕获。选择capture->interfaces-->options,打开capture options对话框，在capture filter输入相关语句。
1）捕获过滤器的BPF语法：
Type：指出名字或数字所代表的意义 eg：host、net、port
Dir: 指出传输方向是前往还是来自名字或数字 eg：src dst
Proto：限定所要匹配的协议 eg：ether、ip、tcp、udp、http、ftp
2）列举例子：
host 172.20.21.241 捕获所有和该IP相关的流量
ether host 00-50-56-C0-00-08 MAC地址进行过滤
src host 172.20.21.241 捕获来自该IP主机的流量（同src 172.20.21.241）
dst host 172.20.21.241 捕获目的该IP主机的流量（同dst 172.20.21.241）
port 8080 只对8080端口进行流量捕获
!port 8080 非8080端口
dst port 80 只捕获前往监听端口80的Web流量
icmp ICMP流量
只捕获带有FIN···标志的TCP数据包，详见TCP格式
tcp[13]&1==1 设置了FIN位的TCP数据包
tcp[13]&2==2 设置了SYN位的TCP数据包
tcp[13]&8==8 设置了PSH位的TCP数据包
tcp[13]&32==32 设置了URG位的TCP数据包
broadcast 仅广播流量
icmp[0:2]==0x0301 ICMP目标不可达，主机不可达
ip 仅IPv4流量
ip6 仅IPv6流量
udp 仅UDP流量
2、显示过滤器：指定表达式用于在一个已捕获的数据包集合中，隐藏不想显示的数据包，或者只显示那些需要的数据包
1）、列举例子：
!tcp.port==3389 排除RDP流量
tcp.flags.syn==1 具有SYN标志位的TCP数据包
tcp.flags.rst==1 具有RST标志位的TCP数据包
!arp 排除ARP流量
http 所有HTTP流量
tcp.port==23 || tcp.port 21 文本管理流量（telnet或FTP）
smtp || pop || imap 文本email流量（SMTP、POP或IMAP）