原文地址：http://blog.51cto.com/laoyinga/1767613
Wireshark過濾規則使用
一、 MAC地址過濾
命令匯總：
eth.addr==20:dc:e6:f3:78:cc
eth.src==20:dc:e6:f3:78:cc
eth.dst==20:dc:e6:f3:78:cc
1、根據MAC地址進行篩選
使用命令：eth.addr==20:dc:e6:f3:78:cc
命令解說：篩選出MAC地址是20:dc:e6:f3:78:cc的數據包，包括源MAC地址或者目的MAC地址使用的是20:dc:e6:f3:78:cc的全部數據包。
2、根據源MAC地址篩選
使用命令：eth.src==20:dc:e6:f3:78:cc
命令解說：篩選出源MAC地址是20:dc:e6:f3:78:cc的數據包
3、根據目的MAC地址篩選
使用命令：eth.dst==20:dc:e6:f3:78:cc
命令解說：篩選出目的MAC地址是20:dc:e6:f3:78:cc的數據包。
二、 IP地址過濾
ip.addr==192.168.1.122 //根據IP地址篩選，包括源ip或者目的IP
ip.src==192.168.1.122 //根據源IP地址篩選
ip.dst==192.168.1.122 //根據目的IP地址篩選
1、根據IP地址進行篩選
使用命令：ip.addr==192.168.1.122
命令解說：篩選出IP地址是192.168.1.122的數據包，包括源IP地址或者目的IP地址使用的是192.168.1.122的全部數據包。
2、根據源IP地址篩選
使用命令：ip.src==182.254.110.91
命令解說：篩選出源IP地址是182.254.110.91的數據包
3、根據目的IP地址篩選
使用命令：ip.dst==192.168.1.122
命令解說：篩選出目的地址是192.168.1.122的數據包。
三、 端口過濾
端口過濾。如過濾80端口，在Filter中輸入，tcp.port==80，這條規則是把源端口和目的端口為80的都過濾出來。使用tcp.dstport==80只過濾目的端口為80的，tcp.srcport==80只過濾源端口為80的包；
tcp.port==80 //根據TCP端口篩選數據包，包括源端口或者目的端口
tcp.dstport==80 //根據目的TCP端口篩選數據包。
tcp.srcport==80 //根據源TCP端口篩選數據包。
udp.port==4010 //根據UDP端口篩選數據包，包括源端口或者目的端口
udp.srcport==4010 //根據源UDP端口篩選數據包。
udp.dstport==4010 //根據目的UDP端口篩選數據包。
1、篩選TCP端口
使用命令：tcp.port==80
命令解說：篩選出TCP端口是80通信的數據包，包括源端口使用TCP 80或者目的端口使用tcp 80端口的數據包。
2、篩選目的端口數據包
使用命令：tcp.dstport==80
命令解說：篩選出目的端口使用的是TCP 80通信的數據包
3、篩選源端口數據包
使用命令：tcp.srcport==80
命令解說：篩選出源端口是采用tcp 80端口的數據包。
四、 協議篩選
根據通訊協議進行篩選數據包，例如http協議、ftp協議等等。常用協議有下：
udp
tcp
arp
icmp
smtp
pop
dns
ip
ssl
http
ftp
telnet
ssh
rdp
rip
ospf
1、篩選出http協議數據包
協議篩選相對來說比較簡單，直接在過濾窗口（filter）輸入協議即可。例如篩選出http協議的數據如下圖：
注意：在進行協議篩選的時候，協議名稱一定要寫成小寫，否則會出錯的。
2、篩選出http的GET數據包
使用命令：http.request.method==GET
命令解說：篩選出http協議采用get方式的數據包。注意GET一定要寫成大寫，否則篩選不出來的。
3、篩選出http的POST數據包。
使用命令: http.request.method==POST
命令解說：篩選出采用http協議的post方式的數據包，注意POST參數一定要寫成大寫的，否則篩選不出來數據。
五、邏輯條件組合篩選
邏輯表達式匯總：
|| //邏輯或
&& //邏輯與
! //邏輯非
1、邏輯與篩選方法
使用命令：ip.src==192.168.1.122&&ip.dst==121.114.244.119
命令解說：篩選出源ip地址是192.168.1.122並且目的地址是121.114.244.119的數據包。在使用的時候也可以用括號進行包含區分，上面的命令也可以等價於以下命令
（ip.src==192.168.1.122）&&（ip.dst==121.114.244.119）
2、邏輯或篩選
使用命令：ip.src==192.168.1.122||ip.src==182.254.110.91
命令解說：篩選出源IP地址是192.168.1.122或者源ip地址是182.254.110.91的數據包
3、邏輯非篩選
使用命令：!(ip.addr==192.168.1.122)
命令解說：篩選出不是192.168.1.122的數據包。
