wireshark基本过滤规则

1.地址过滤
ip.addr ==“ip” 过滤地址为IP的数据包
ip.src == “ip” 过滤源地址为ip的数据包
ip.dst == “ip” 过滤目的地址为ip的数据包
如果想排除以上的数据包，只需要将其用括号囊括，然后使用 “!” 即可
!(ip.addr == 192.168.0.1)

2.端口过滤
tcp.dstport == 80 过滤目的端口为80的数据包

3.协议过滤
根据通信协议直接输入协议名称进行数据包过滤（协议名称要小写,例如:arp ,http,icmp,tcp ,udp）

4.请求方式过滤
http.request.method==GET 过滤http协议中请求方式为GET的数据包（请求方式要大写GET,POST,HEAD,PUT）

5.过滤数据包内容包含的字符串
frame contains “xxxxxx”
http contains “xxxxxx” 根据协议进行数据包内容过滤

针对uri 内容的过滤
http.request.uri matches 'user' (请求的uri中包含“user”关键字的)

过滤出请求地址中包含“user”的请求，不包括域名；
http.request.uri contains 'User'
精确过滤域名
http.host==baidu.com
模糊过滤域名
http.host contains 'baidu'
过滤请求的content_type类型
http.content_type =='text/html'
http contains “HTTP/1.1 OK” && http contains “Content-Type: ”

tcp.payload[0:4] == xx:xx:xx:xx
tcp.payload[8:1] == xx
tcp.payload[0:2] == xx:xx
tcp.payload matches "xxxxxx"
tcp.payload[0:30] contains "xxxxxx"
tcp.payload contains "xxxxxxx"