| 用途 | 排除特定流量与事件 |
|---|---|
| 语法 | !表达式 / !(A || B) / 表达式 != 值 |
常用示例
常用示例
!(arp || icmp)
tcp && !tcp.analysis.flags
tcp.port == 80 && http.response.code != 200对复杂条件取反务必加括号；!tcp.port==80 会被解析成 (!tcp.port)==80，语义错误。
Wireshark 取反与否定过滤
用 !（或 not）排除干扰流量：!arp、!(http || dns)、tcp && !tcp.analysis.retransmission，让视图只留下关注对象。
易错点
- 否定条件对字段缺失的包同样为真（如 !http.host 会命中所有非 HTTP 包）
- 长时间依赖排除法分析会漏掉"不存在的证据"，重要结论用正向条件复核
数据来源与参考
- Wireshark User's Guide（过滤器语法）