首页/网络/抓包与流量分析速查/Wireshark 显示过滤器报错处理
Wireshark 技巧75 条

Wireshark 显示过滤器报错处理

过滤器输入框红色高亮表示语法错误:常见原因是字段名拼错、类型不匹配(字符串比数字)、漏括号;状态栏提示会给出具体位置。

用途定位并修正过滤器语法错误
表现输入框红底;回车不生效;状态栏显示错误信息

常见错误

现象原因修正
Unknown field字段名拼写错误对照字段参考改用 tcp.analysis.retransmission
不能比较类型不匹配字符串加引号,数字去引号
结果为空条件过严或字段不存在逐段验证,先放宽首个条件

排查步骤

排查步骤
1) 删到只剩首个条件看是否变绿
2) 逐个追加条件定位出错段
3) 用自动补全选择字段避免拼写错
对不确认的字段,在详情区选中字段右键"作为过滤器应用"自动生成正确写法。

易错点

  • 报错不清空旧过滤器时容易误以为还在用旧条件,先清空再重写
  • 复制网上的过滤器常在版本间失效(字段更名,如 ssl.→tls.),按本机版本核对

数据来源与参考

  • Wireshark User's Guide(过滤器排错)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌