Wireshark 技巧75 条

Wireshark 字节切片过滤

用字段[偏移:长度] 语法读取任意字节：frame[0:4] 匹配帧头、tcp.payload[0:2]，配合十六进制写出精确匹配。

抓包与流量分析速查网络更新于 2026-10-12

用途	按字节偏移精确匹配
语法	字段[开始:长度] == 0x…（省略长度取单字节）

常用示例

frame[0:2] == 0x0800                 # 以太网类型为 IPv4
udp[8:4] == 0x00:00:00:00             # UDP 载荷前 4 字节
tcp.payload[0] == 0x16                # TLS 记录类型 Handshake

偏移从该字段起点算起；跨协议层做字节比对时先把字段与偏移在详情区核对一遍。

易错点

切片只作用在解析出的字段上，字段被加密或未解析时取不到；必要时用 frame 原始字节
偏移写错的过滤器会静默返回空结果，先在小样本上验证

数据来源与参考

Wireshark User's Guide（byte slice）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌