一、过滤体系架构解析

网络分析过程中，过滤器的选择直接影响问题定位效率。Wireshark提供两种过滤机制：

捕获过滤器（Capture Filter）：在数据包采集阶段生效，基于BPF语法实现，适用于控制抓包范围
显示过滤器（Display Filter）：在抓包完成后对已采集数据二次筛选，支持更复杂的协议解析

两种过滤器采用不同语法体系，需根据分析阶段选择合适工具。例如排查DNS解析异常时，可在捕获阶段用port 53限制抓包范围，分析阶段再用dns.qry.name contains "example.com"定位具体请求。

二、捕获过滤器实战指南

2.1 基础语法结构

采用BPF（Berkeley Packet Filter）语法，核心表达式格式：

<类型> <方向> <比较值> [逻辑运算符]...

支持类型包括：

host：主机地址（IPv4/IPv6）
net：网络段（CIDR表示法）
port：端口号
proto：协议类型（tcp/udp/icmp等）

2.2 逻辑运算符应用

复合条件需使用逻辑运算符组合：

and：与运算（默认优先级最高）
or：或运算
not：非运算

典型场景示例：

# 抓取来自192.168.1.100的HTTP流量
src host 192.168.1.100 and tcp port 80
# 排除特定子网通信
not net 10.0.0.0/24
# 抓取非ICMP协议包
not proto icmp

2.3 高级过滤技巧

方向控制：通过src/dst限定流量方向

# 抓取发往10.0.0.1的UDP流量
dst host 10.0.0.1 and udp

端口范围过滤：使用portrange关键字

# 抓取8000-9000端口的TCP流量
tcp portrange 8000-9000

协议组合过滤：支持嵌套逻辑

# 抓取非HTTP的TCP流量或所有UDP流量
(not tcp port 80) or udp

三、显示过滤器深度解析

3.1 语法结构详解

采用协议.字段运算符值的三段式结构，支持多条件组合：

<protocol>.<field> <operator> <value> [and/or/not <expression>]

3.2 常用比较运算符

运算符	说明	示例
==	精确匹配	`tcp.port == 443`
!=	不等于	`ip.addr != 192.168.1.1`
>/<	数值比较	`frame.len > 1500`
contains	包含子串	`http.host contains "baidu"`
matches	正则匹配	`dns.qry.name matches ".*\.com$"`

3.3 协议字段过滤实战

HTTP协议分析

# 过滤GET请求
http.request.method == "GET"
# 过滤特定User-Agent
http.user_agent contains "Chrome"
# 过滤响应状态码
http.response.code == 404

DNS协议解析

# 过滤A记录查询
dns.qry.type == 1
# 过滤递归查询请求
dns.flags.rd == 1
# 过滤特定域名查询
dns.qry.name == "example.com"

TCP连接诊断

# 过滤SYN包（三次握手开始）
tcp.flags.syn == 1 and tcp.flags.ack == 0
# 过滤RST包（异常终止）
tcp.flags.rst == 1
# 过滤重传包
tcp.analysis.retransmission

四、高级过滤技巧

4.1 组合逻辑过滤

通过括号明确优先级，构建复杂条件：

# 过滤源IP为10.0.0.2且目标端口为80或443的TCP流量
ip.src == 10.0.0.2 and (tcp.dstport == 80 or tcp.dstport == 443)
# 过滤非办公时段（22:00-8:00）的流量
(time > 22:00:00 or time < 08:00:00) and ip.addr == 192.168.1.100

4.2 数据包长度过滤

# 过滤大于1500字节的以太网帧
eth.len > 1500
# 过滤HTTP负载大于1KB的请求
http.content_length > 1024

4.3 时间相关过滤

# 过滤最近5分钟内的数据包
frame.time_relative <= 300
# 过滤两个数据包时间差小于100ms的会话
frame.time_delta <= 0.1

4.4 统计信息过滤

# 过滤TCP窗口大小小于64KB的会话
tcp.window_size_value < 65535
# 过滤ICMP回显请求超时的包
icmp.type == 11 and icmp.code == 0

五、性能优化建议

阶段过滤：先使用捕获过滤器缩小抓包范围，再用显示过滤器精准分析
字段索引：对常用过滤字段（如ip.addr、tcp.port）建立索引加速查询
正则优化：复杂字符串匹配优先使用contains而非matches
时间范围：结合frame.time限制分析时段，减少数据处理量

掌握这些过滤技巧后，可轻松应对以下场景：

快速定位特定协议交互过程
分析异常连接建立/终止行为
检测网络中的恶意流量特征
评估应用层协议实现合规性

建议通过Wireshark的Filter Expression对话框（Ctrl+F）实时测试过滤表达式，结合Protocol Hierarchy窗口验证过滤效果，逐步构建自己的过滤规则库。

Wireshark过滤语法全解析：从入门到精通的完整指南