**http.host==6san.com
http.host contains 6san.com
//過濾經過指定域名的http資料包，這裡的host值不一定是請求中的域名
http.response.code==302
//過濾http響應狀態碼為302的資料包
http.response==1
//過濾所有的http響應包
http.request==1
//過濾所有的http請求，貌似也可以使用http.request
http.request.method==POST
//wireshark過濾所有請求方式為POST的http請求包，注意POST為大寫
http.cookie contains guid
//過濾含有指定cookie的http資料包
 

http.request.uri==”/online/setpoint”
//過濾請求的uri，取值是域名後的部分
http.request.full_uri==” http://task.browser.360.cn/online/setpoint”
//過濾含域名的整個url則需要使用http.request.full_uri
http.server contains “nginx”
//過濾http頭中server欄位含有nginx字元的資料包
http.content_type == “text/html”
//過濾content_type是text/html的http響應、post包，即根據檔案型別過濾http資料包
 

http.content_encoding == “gzip”
//過濾content_encoding是gzip的http包
http.transfer_encoding == “chunked”
//根據transfer_encoding過濾
http.content_length == 279
http.content_length_header == “279”
//根據content_length的數值過濾
http.server
//過濾所有含有http頭中含有server欄位的資料包
http.request.version == “HTTP/1.1″
//過濾HTTP/1.1版本的http包，包括請求和響應
 

http.response.phrase == “OK”
//過濾http響應中的phrase**

1.
過 濾
IP，如來源IP或者目標IP等於某個IP

例子:
ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107
或者
ip.addr eq 192.168.1.107 // 都能顯示來源IP和目標IP

2.
過濾
端 口

例子:
tcp.port eq 80 // 不管埠是來源的還是目標的都顯示
tcp.port == 80
tcp.port eq 2722
tcp.port eq 80 or udp.port eq 80
tcp.dstport == 80 // 只顯tcp協議的目標埠80
tcp.srcport == 80 // 只顯tcp協議的來源埠80

udp.port eq 15000

過濾
埠範圍
tcp.port >= 1 and tcp.port <= 80

3.
過 濾
協議

例子:
tcp
udp
arp
icmp
http
smtp
ftp
dns
msnms
ip
ssl
oicq
bootp
等 等

排除arp包，如!arp  或者  not arp

4.
過 濾
MAC

太以網頭
過濾

eth.dst == A0:00:00:04:C5:84 //
過濾
目 標mac
eth.src eq A0:00:00:04:C5:84 //
過 濾
來源mac
eth.dst==A0:00:00:04:C5:84
eth.dst==A0-00-00-04-C5-84
eth.addr eq A0:00:00:04:C5:84 //
過濾
來 源MAC和目標MAC都等於A0:00:00:04:C5:84的

less than 小於 < lt
小於等於 le

等 於 eq

大於 gt
大於等於 ge

不等 ne


5.包長度
過 濾


例子:
udp.length == 26 這個長度是指udp本身固定長度8加上udp下面那塊資料包之和
tcp.len >= 7  指的是ip資料包(tcp下面那塊資料),不包括tcp本身
ip.len == 94 除了乙太網頭固定長度14,其它都算是ip.len,即從ip本身到最後
frame.len == 119 整個資料包長度,從eth開始到最後

eth ---> ip or arp ---> tcp or udp ---> da
ta

6.http 模式
過濾


例子:
http.request.method == "GET"
http.request.method == "POST"
http.request.uri == "/img/logo-edu.gif"
http contains "GET"
http contains "HTTP/1."

// GET包
http.request.method == "GET" && http contains "Host: "
http.request.method == "GET" && http contains "User-Agent: "
// POST包
http.request.method == "POST" && http contains "Host: "
http.request.method == "POST" && http contains "User-Agent: "
// 響應包
http contains "HTTP/1.1 200 OK" && http contains "Content-Type: "
http contains "HTTP/1.0 200 OK" && http contains "Content-Type: "
一 定包含如下
Content-Type:


7.TCP引數
過 濾


tcp.flags 顯示包含TCP標誌的封包。
tcp.flags.syn == 0x02    顯示包含TCP SYN標誌的封包。
tcp.window_size == 0 && tcp.flags.reset != 1

8.
過濾
內容


tcp[20] 表示從20開始，取1個字元
tcp[20:]表示從20開始，取1個字元以上
tcp[20:8]表示從20開始，取8個字元
tcp[offset,n]

udp[8:3]==81:60:03 // 偏移8個bytes,再取3個數，是否與==後面的資料相等？
udp[8:1]==32  如果我猜的沒有錯的話，應該是udp[offset:擷取個數]=nValue
eth.addr[0:3]==00:06:5B