Wireshark 技巧75 条

Wireshark 过滤 TCP 标志组合

用 tcp.flags.syn/ack/fin/rst 等布尔字段组合过滤：纯 SYN（建连请求）、RST、FIN-ACK 一气呵成，比 BPF 位运算可读。

抓包与流量分析速查网络更新于 2026-10-12

用途	按 TCP 标志位组合过滤
语法	tcp.flags.syn == 1 && tcp.flags.ack == 0 等

常用示例

tcp.flags.syn == 1 && tcp.flags.ack == 0     # 纯 SYN
tcp.flags.rst == 1
tcp.flags.fin == 1 && tcp.flags.ack == 1
tcp.flags == 0x012                          # SYN+ACK 数值写法

详情区 Flags 可展开逐位确认；tcp.flags 还能直接按数值（0x012）匹配整套组合。

易错点

只写 tcp.flags.syn == 1 会同时命中 SYN-ACK，需要纯 SYN 时补 ack==0
标志值 0x012 等写法依赖位定义，跨版本语义一致但可读性差，团队共享时优先布尔组合

数据来源与参考

Wireshark 显示过滤器参考（tcp.flags）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌