首先我们在抓到包的情况下。在Filter处填写表达式:tcp.port eq 80。表示获得tcp协议且端口为80的数据包（包含来源端口以及目的端口）。
 
wireshark过滤规则系列教程(针对端口和协议)
 在Filter处填写表达式:tcp.port eq 80 or udp.port eq 514。表示获得tcp协议且端口为80，udp协议且端口为514的数据包。
 
wireshark过滤规则系列教程(针对端口和协议)
 在Filter处填写表达式:tcp.srcport eq 80。表示获得tcp协议且来源端口为80的数据包。相应的查看udp协议的表达式为:udp.srcport eq +端口号。
 
wireshark过滤规则系列教程(针对端口和协议)
 在Filter处填写表达式:tcp.dstport eq 80。表示获得tcp协议且目的端口为80的数据包。相应的查看udp协议的表达式类似为:udp.dstport eq +端口号。
 
wireshark过滤规则系列教程(针对端口和协议)
 同样在Filter处支持输入端口范围进行过滤。本篇命令为tcp.port >1 and tcp.port <80 。表示为：得到tcp协议的端口范围为大于1小于80的数据包。
 
wireshark过滤规则系列教程(针对端口和协议)
 Filter处支持输入协议来过滤。支持的协议包括:tcp、udp、arp、icmp、http、smtp、ftp、dns、msnms、ip、ssl、oicq、bootp等等。本篇我们在Filter处输入表达式:dns。表示查询协议为dns的数据包。
 
wireshark过滤规则系列教程(针对端口和协议)
 在Filter处输入表达式:dns or http。表示获取协议为dns或者http的数据包。
 
wireshark过滤规则系列教程(针对端口和协议)
 
如果我们想查看除了某个协议以外的其他协议的数据包。则表达式为! +协议名称或者not +协议名称。本篇我们执行过滤表达式为:! tcp。表示得到非tcp协议的数据包。

UDP概念
 
用户数据报协议（User Datagram Protocol，UDP）是开放系统互联模型（Open System Interconnection，OSI）中传输层协议的一种，是一种保留消息边界的简单的面向数据报的协议。UDP不提供差错纠正、队列管理、重复消除、流量控制和拥塞控制，但提供差错检测。这种协议自身提供最小功能，因此使用它的应用程序要做许多关于数据报如何发送和处理的控制工作。想要保证数据被可靠传递或正确排序，应用程序必须自己实现这些保护功能。UDP把数据报发送出去，但并不保证它们能够到达目的地。另外，没有协议机制防止告诉UDP流量对其他网络用户的消极影响。这种可靠性和保护性的缺失需要上层协议来代替UDP完成，但因为UDP的无连接特性，它要比其他传输协议使用更少的开销。
 
特点
 
1)UDP是无连接的，即发送数据之前不需要建立连接，减少了开销和发送数据之前的时延
 2)UDP使用尽最大努力交付，即不保证可靠交付，主机不需要维持复杂的连接状态表。
 3)UDP没有拥塞控制，网络出现的拥塞不会使源主机的发送速率降低
 4)UDP支持一对一、一对多、多对一和多对多的交互通信
 5)UDP 的首部开销小，只有8个字节，比TCP的20个字节的首部要短
 
 
 
wireshark分析UDP协议
 
使用udp测试小工具，服务端开启8888端口
 
 
 
客户端连接8888端口服务，通过wireshark知道，没有数据包信息，UDP无需建立连接
 
 
客户端发送数据
 
 
wireshark数据包与UDP报文头对照对比
 
 
 
 
追踪流查看传输内容
 

ip.src == xx.xx.xx.xx 过滤源ip
 
ip.dst == xx.xx.xx.xx 过滤目标ip
 
tcp.prot == 80 过滤所有80端口
 
tcp.srcport == 80 过滤源端口为80
 
udp.port == 53 过滤udp端口
 
tcp.dstport >= 80 过滤大于等于80的目标ip
 
http or arp 过滤http包和arp包
 
ip.src == xx.xx.xx.xx and ip.dst == xx.xx.xx.xx 过滤从源ip到目标ip的所有包
 
ip.src == xx.xx.xx.xx and tcp port == 80 过滤从源ip发出的80端口的所有包

wireshark是一款抓包软件,常用来分析网络底层协议,寻找网络安全问题,平时用的最多的是过滤功能,wireshark的过滤分功能有两种,抓包过滤器和显示过滤器
 
 
抓包过滤器的过滤规则分为四个部分:放行,类型,协议和逻辑运算符
 
方向
    src	-- 源地址
    dst	-- 目标地址

类型
    host	-- 主机
    net		-- 网段
    port	-- 端口

协议
    tcp,udp,http,ftp,ip

逻辑运算符
    &&    -- 与
    ||    -- 或
    !     -- 非
 
 
抓包过滤器使用时,直接在过滤框中输入过滤规则即可
 
tcp	    -- 过滤tcp协议
host 192.168.1.100	    -- 过滤IP
src host 192.168.1.100	-- 过滤源地址IP
port 80	    -- 过滤80端口
src port 80	-- 过滤源地址的80端口
src host 192.168.0.1 && dst port 80	-- 过滤源地址IP并且到目标80端口的流量
 
 
显示过滤器提供了一些比较运算符(==,!=,>,<,>=,<=,contains包含)
 
http	    -- 过滤http协议
tcp && http	-- 过滤tcp和http协议
http.accept	-- 过滤http协议中包含accept头的包
pi.len <= 1500	-- 过滤ip长度