抓包軟件Wireshark常用過濾使用方法命令
過濾源ip、目的ip。
在wireshark的過濾規則框Filter中輸入過濾條件。如查找目的地址為192.168.101.8的包，ip.dst192.168.101.8；查找源地址為ip.src1.1.1.1
端口過濾。
如過濾80端口，在Filter中輸入，tcp.port80，這條規則是把源端口和目的端口為80的都過濾出來。使用tcp.dstport80只過濾目的端口為80的，tcp.srcport==80只過濾源端口為80的包
協議過濾
比較簡單，直接在Filter框中直接輸入協議名即可，如過濾HTTP的協議
http模式過濾。
如過濾get包，http.request.method"GET",過濾post包，http.request.method"POST"
連接符and的使用。
過濾兩種條件時，使用and連接，如過濾ip為192.168.101.8並且為http協議的，ip.src==192.168.101.8 and http。
工作中，一些使用方式
調整時間格式
然后再排序下。根據時間字段
根據端口過濾
服務端端口是7018，和客戶端建立socket連接，根據服務端的端口找到2者通信的所有socket數據（客戶端進入房間后會異常斷開，判斷是客戶端導致的還是服務端導致的）
tcp.port==7018，最后的RST報文是服務端發起的，說明是服務端主動斷開的，縮小問題范圍
僅從抓包信息看是服務器的一個流量控制機制啟動了。服務器發回rst位，同時win置為0，是告訴客戶端不要發包。按tcp流控機制來說，此時客戶端應該停止發包，直至服務器發送信息告訴客戶端可以繼續發送。
TCP連接:SYN ACK RST UTG PSH FIN
三次握手：發送端發送一個SYN=1，ACK=0標志的數據包給接收端，請求進行連接，這是第一次握手；
接收端收到請求並且允許連接的話，就會發送一個SYN=1，ACK=1標志的數據包給發送端，告訴它，可以通訊了，並且讓發送端發送一個確認數據包，這是第二次握手；
最后，發送端發送一個SYN=0，ACK=1的數據包給接收端，告訴它連接已被確認，這就是第三次握手。之后，一個TCP連接建立，開始通訊。
*SYN：同步標志
同步序列編號(Synchronize Sequence Numbers)欄有效。該標志僅在三次握手建立TCP連接時有效。它提示TCP連接的服務端檢查序列編號，該序列編號為TCP連接初始端(一般是客戶端)的初始序列編號。
在這里，可以把 TCP序列編號看作是一個范圍從0到4，294，967，295的32位計數器。通過TCP連接交換的數據中每一個字節都經過序列編號。
在TCP報頭中的序列編號欄包括了TCP分段中第一個字節的序列編號。
*ACK：確認標志
確認編號(Acknowledgement Number)欄有效。大多數情況下該標志位是置位的。TCP報頭內的確認編號欄內包含的確認編號(w+1，Figure-1)為下一個預期的序列編號，同時提示遠端系統已經成功接收所有數據。
*RST：復位標志
復位標志有效。用於復位相應的TCP連接。
*URG：緊急標志
緊急(The urgent pointer) 標志有效。緊急標志置位，
*PSH：推標志
該標志置位時，接收端不將該數據進行隊列處理，而是盡可能快將數據轉由應用處理。在處理 telnet 或 rlogin 等交互模式的連接時，該標志總是置位的。
*FIN：結束標志
帶有該標志置位的數據包用來結束一個TCP回話，但對應端口仍處於開放狀態，准備接收后續數據。
TCP的幾個狀態對於我們分析所起的作用。在TCP層，有個FLAGS字段，這個字段有以下幾個標識：SYN, FIN, ACK, PSH, RST, URG.其中，對於我們日常的分析有用的就是前面的五個字段。它們的含義是：SYN表示建立連接，FIN表示關閉連接，ACK表示響應，PSH表示有 DATA數據傳輸，RST表示連接重置。
其中，ACK是可能與SYN，FIN等同時使用的，比如SYN和ACK可能同時為1，它表示的就是建立連接之后的響應，如果只是單個的一個SYN，它表示的只是建立連接。
TCP的幾次握手就是通過這樣的ACK表現出來的。但SYN與FIN是不會同時為1的，因為前者表示的是建立連接，而后者表示的是斷開連接。
RST一般是在FIN之后才會出現為1的情況，表示的是連接重置。一般地，當出現FIN包或RST包時，我們便認為客戶端與服務器端斷開了連接；
而當出現SYN和SYN＋ACK包時，我們認為客戶端與服務器建立了一個連接。
PSH為1的情況，一般只出現在DATA內容不為0的包中，也就是說PSH為1表示的是有真正的TCP數據包內容被傳遞。TCP的連接建立和連接關閉，都是通過請求－響應的模式完成的。