wireshake常用规则

一、语法

　　等于 = eq    如：ip.addr ==   与 ip.addr eq 一样

　　不等于 =  “！” 或 not       如：排除http 为  ！http

　　和  =  ||     （两个规则交集）

　　或 = or

　　less than 小于 < lt 

　　小于等于 le

　　大于 gt

　　大于等于 ge

　　不等 ne

二、规则：

过滤IP地址：
ip.addr == 192.168.47.2
 
过滤目的地址：
ip.dst == 192.168.43.2
 
过滤源地址：
ip.src == 59.110.42.77
 
过滤tcp 80端口和udp 80端口数据（ || 表示或）：
tcp.port == 80 || udp.port == 80
 
过滤目的端口为80的数据：
itcp.dstport==80
 
过滤源端口为80的数据：
tcp.srcport==80
 
过滤协议(直接输入协议名称)：
http
 
http模式过滤：
过滤get包，http.request.method=="GET"
过滤post包，http.request.method=="POST"
 
过滤两种条件时，使用and连接:
过滤ip为192.168.101.8并且为http协议，ip.src==192.168.101.8 and http
 
过滤端口范围:
tcp.port >= 1 and tcp.port <= 80
 
过滤MAC
eth.dst == A0:00:00:04:C5:84 // 过滤目标mac
eth.src eq A0:00:00:04:C5:84 // 过滤来源mac