| 场景 | 从海量包里筛出目标流量 |
|---|---|
| 工具 | Wireshark / tshark -Y |
| 语法 | 字段 + 运算符 + 值，值含特殊字符时用双引号 |
| 常用字段 | ip.addr、tcp.port、http.request.uri、dns.qry.name |
过滤器示例
过滤器示例
ip.addr == 10.0.0.5
tcp.port == 443
tcp.flags.reset == 1
http.request.method == "POST"
dns.qry.name contains "example.com"
tcp.analysis.retransmission
!(arp || stp)运算符
| 运算符 | 用途 |
|---|---|
| == != > < >= <= | 数值/字符串比较 |
| contains | 子串匹配（大小写敏感） |
| matches | 正则匹配（PCRE） |
| && || ! | 与 / 或 / 非（也可写 and or not） |
| in {a b c} | 集合匹配 |
tcp.port == 80 同时匹配源与目的端口；只看服务端方向用 tcp.dstport == 80（以抓包点视角为准）。