2024年6月11日发(作者：)

Wireshark是一款开源的网络协议分析工具，它能够捕获和分析网络

数据包，帮助网络管理员和安全专家监控和排查网络问题。在

Wireshark中，过滤规则是非常重要的功能，通过过滤规则可以筛选

出感兴趣的数据包，便于分析和统计。

1. 基本过滤规则

基本过滤规则是Wireshark中最常用的过滤规则，它可以根据数据包

的源位置区域、目的位置区域、协议、端口和数据包内容等进行过滤。

以下是一些常用的基本过滤规则示例：

- 源位置区域过滤：==192.168.1.1

这条过滤规则可以筛选出源位置区域为192.168.1.1的所有数据包。

- 目的位置区域过滤：==192.168.1.1

这条过滤规则可以筛选出目的位置区域为192.168.1.1的所有数据包。

- 协议过滤：网络协议

这条过滤规则可以筛选出所有HTTP协议的数据包。

- 端口过滤：==80

这条过滤规则可以筛选出目的端口为80的所有TCP协议数据包。

- 数据包内容过滤：网络协议.=="GET"

这条过滤规则可以筛选出所有HTTP请求方法为GET的数据包。

2. 复合过滤规则

除了基本过滤规则外，Wireshark还支持复合过滤规则，用户可以通

过逻辑运算符（与、或、非）将多个基本过滤规则组合起来。以下是

一些常用的复合过滤规则示例：

- 与运算符（and）：==192.168.1.1 and ==80

这条过滤规则可以筛选出源位置区域为192.168.1.1且目的端口为80

的所有数据包。

- 或运算符（or）：网络协议 or dns

这条过滤规则可以筛选出所有HTTP协议或DNS协议的数据包。

- 非运算符（not）：not ==22

这条过滤规则可以排除目的端口为22的所有数据包。

3. 特定协议过滤规则

Wireshark对于各种网络协议都有特定的过滤规则，用户可以根据具

体的协议特点进行定制化的过滤规则。以下是一些常用的特定协议过

滤规则示例：

- HTTP过滤规则：网络协议.=="GET" and 网络协

议.==200

这条过滤规则可以筛选出所有HTTP请求方法为GET且响应状态码为

200的数据包。

- DNS过滤规则：se==0

这条过滤规则可以筛选出所有DNS查询数据包。

- FTP过滤规则：ftp or ftp-data

这条过滤规则可以筛选出所有FTP协议和FTP数据协议的数据包。

4. 重要数据包过滤规则

在网络分析中，有些特定的数据包对于故障排查和安全审计非常重要，

Wireshark提供了一些重要数据包过滤规则，用户可以快速定位和分

析这些关键数据包。以下是一些常用的重要数据包过滤规则示例：

- ARP数据包过滤规则：arp

这条过滤规则可以筛选出所有ARP协议的数据包。

- ICMP数据包过滤规则：icmp

这条过滤规则可以筛选出所有ICMP协议的数据包。

- SYN数据包过滤规则：==1 and ==0

这条过滤规则可以筛选出所有TCP协议的SYN数据包。

5. 自定义过滤规则

除了Wireshark内置的过滤规则外，用户还可以根据自己的需求编写

和应用自定义的过滤规则，以便更好地完成特定的网络分析任务。用

户可以利用Wireshark的表达式语言，结合各种逻辑运算符和函数，

来编写复杂的自定义过滤规则。

总结

Wireshark作为一款功能强大的网络分析工具，其过滤规则功能为用

户提供了强大的数据包筛选和分析能力。通过灵活运用各种过滤规则，

用户可以快速定位感兴趣的数据包，进行精细化的网络状况分析和故

障排查。熟练掌握Wireshark的过滤规则是网络管理员和安全专家必

备的技能之一。希望本文对大家在Wireshark中使用过滤规则有一定

的帮助。