WireShark是一款强大的网络封包分析工具，它允许你捕获网络流量并深入分析数据包的内容。为了高效地从大量的网络数据中找到你需要的信息，掌握其筛选功能至关重要。WireShark提供了两种主要的筛选方式：捕获过滤器（Capture Filters）和显示过滤器（Display Filters）。

捕获过滤器（Capture Filters）

捕获过滤器在数据包捕获开始之前应用，用于减少被捕获的数据量，仅捕获满足特定条件的流量。这可以节省硬盘空间和分析时间。捕获过滤器的语法与libpcap/WinPcap兼容，通常用于过滤掉不感兴趣的流量类型。

示例：

• 捕获特定IP的流量：host 192.168.1.100

• 捕获特定端口的流量：port 80

• 捕获特定协议的流量：tcp

显示过滤器（Display Filters）

显示过滤器则在数据包捕获完成后应用，用于从已捕获的数据中筛选出需要分析的数据包。显示过滤器更加灵活且功能强大，支持复杂的逻辑表达式，可以基于几乎所有的数据包字段进行筛选。

常用显示过滤器示例：

• 查看特定IP的通信：ip.addr == 192.168.1.100

• 筛选特定端口的流量：tcp.port == 80 或 udp.port      == 53

• 依据协议筛选：http 或 dns

• 组合条件：(http && tcp.port == 80) || (dns && udp.port == 53)

• 时间相关：frame.time > "2024-06-30 23:59:59"

• 包含特定字符串的内容过滤：http contains "login"

使用技巧：

• 利用自动补全功能：在过滤器栏输入时，Wireshark会提供可能的字段补全建议。

• 学习和参考Wireshark自带的过滤表达式助手（Filter Expression）和在线文档，以获得更详细的过滤器语法和示例。

• 使用颜色标记规则（Coloring Rules）来视觉上区分不同的数据包类型或条件，便于快速识别。

• 对于复杂的过滤需求，可以分步筛选，先用较宽泛的条件过滤，再逐步细化。

通过熟练应用这两种过滤器，你可以高效地定位并分析网络中的特定通信，无论是排查故障、分析协议行为还是进行安全审计。