对比
| 方面 | 捕获过滤器（Capture Filter） | 显示过滤器（Display Filter） |
|---|---|---|
| 语法 | BPF：tcp port 80 and host 10.0.0.5 | 字段式：tcp.port == 80 && ip.addr == 10.0.0.5 |
| 生效时机 | 抓包时（影响文件大小与丢包率） | 加载后（不影响已抓内容） |
| 可否后改 | 不可以 | 随时可以 |
| 典型用途 | 生产环境长时间抓取 | 分析已有 pcap |
对应写法
对应写法
# 捕获过滤器（与 tcpdump 完全一致）：
tcp port 443 and host 10.0.0.5
# 显示过滤器（Wireshark 语法）：
tcp.port == 443 && ip.addr == 10.0.0.5
# tshark 同时使用两者：
tshark -i eth0 -f 'tcp port 443' -Y 'tls.handshake.type == 1'分析时发现「要的包没抓到」基本是捕获过滤器写窄了：下次放宽捕获条件，用显示过滤器做精筛。