首先我们在抓到包的情况下。在Filter处填写表达式:tcp.port eq 80。表示获得tcp协议且端口为80的数据包（包含来源端口以及目的端口）。
wireshark过滤规则系列教程(针对端口和协议)

在Filter处填写表达式:tcp.port eq 80 or udp.port eq 514。表示获得tcp协议且端口为80，udp协议且端口为514的数据包。
wireshark过滤规则系列教程(针对端口和协议)

在Filter处填写表达式:tcp.srcport eq 80。表示获得tcp协议且来源端口为80的数据包。相应的查看udp协议的表达式为:udp.srcport eq +端口号。
wireshark过滤规则系列教程(针对端口和协议)

在Filter处填写表达式:tcp.dstport eq 80。表示获得tcp协议且目的端口为80的数据包。相应的查看udp协议的表达式类似为:udp.dstport eq +端口号。
wireshark过滤规则系列教程(针对端口和协议)

同样在Filter处支持输入端口范围进行过滤。本篇命令为tcp.port >1 and tcp.port <80 。表示为：得到tcp协议的端口范围为大于1小于80的数据包。
wireshark过滤规则系列教程(针对端口和协议)

Filter处支持输入协议来过滤。支持的协议包括:tcp、udp、arp、icmp、http、smtp、ftp、dns、msnms、ip、ssl、oicq、bootp等等。本篇我们在Filter处输入表达式:dns。表示查询协议为dns的数据包。
wireshark过滤规则系列教程(针对端口和协议)

在Filter处输入表达式:dns or http。表示获取协议为dns或者http的数据包。
wireshark过滤规则系列教程(针对端口和协议)
如果我们想查看除了某个协议以外的其他协议的数据包。则表达式为! +协议名称或者not +协议名称。本篇我们执行过滤表达式为:! tcp。表示得到非tcp协议的数据包。

协议过滤：dns http ip tcp udp arp icmp ssl smtp ftp msnms oicq bootp websocket
IP端口过滤：
ip.src != 10.0.0.5
tcp.dstport == 888
udp.srcport == 888
dst host 220.181.111.188
http.host contains "163.com"
eth.dst==A0:00:00:04:C5:84
HTTP模式过滤：
请求方法为GET：http.request.method==“GET”
请求方法为POST：http.request.method==“POST”
指定URI：http.request.uri==“/img/logo-edu.gif”
请求或相应中包含特定内容：http contains “FLAG”
长度过滤：
frame.len > 10
udp.length==20
特征过滤：
tcp.flags.syn == 0x02
检测tcp含有十六进制01:bd,从tcp头部开始搜索此数据。
tcp matches "\\x01\\xbd"
oicq and udp[8:] matches "^\\x02[\\x00-\\xff][\\x00-\\xff]\\x00\\x22[\\x00-\\xff]+\\x03$"
1、wireshark基本的语法字符
\d          0-9的数字
\D          \d的补集(以所以字符为全集，下同)，即所有非数字的字符
\w          单词字符，指大小写字母、0-9的数字、下划线
\W          \w的补集
\s          空白字符，包括换行符\n、回车符\r、制表符\t、垂直制表符\v、换页符\f
\S          \s的补集
.          除换行符\n外的任意字符。 在Perl中，“.”可以匹配新行符的模式被称作“单行模式”
.*       匹配任意文本，不包括回车(\n)? 。 而，[0x00-0xff]*        匹配任意文本,包括\n
[…]          匹配[]内所列出的所有字符
[^…]          匹配非[]内所列出的字符
^          表示其后的字符必须位于字符串的开始处
$          表示其前面的字符必须位于字符串的结束处
\b          匹配一个单词的边界
\B          匹配一个非单词的边界
{n}          匹配前面的字符n次
{n,}          匹配前面的字符n次或多于n次
{n,m}          匹配前面的字符n到m次
?          匹配前面的字符0或1次
+          匹配前面的字符1次或多于1次
*          匹配前面的字符0次或式于0次

过滤端口 8050 ，且源 ip 为 192.168.1.113

udp.port == 8050 && ip.src == 192.168.1.113

1.过滤IP

ip.addr eq <ip_addr>

ip.src eq <ip_addr>

ip.dst eq <ip_addr>
2.过滤端口

tcp.port eq <port>

tcp.port == <port>

tcp.port eq <port>

tcp.port eq 80 or udp.port eq <port>

tcp.dstport == <port>

tcp.srcport == <port>

udp.port eq <port>

过滤端口范围

tcp.port >= <port> and tcp.port <= <port>
3.过滤协议

tcp

udp

arp

icmp

http

smtp

ftp

dns

msnms

ip

ssl

oicq

bootp

等等

排除arp包，如!arp   或者   not arp
4.过滤MAC

eth.dst == <MAC_addr>

eth.src eq <MAC_addr>

eth.dst==00:00:00:00:00:00

eth.dst==00-00-00-00-00-00

eth.addr eq <MAC_addr>

less than 小于 < lt 

小于等于 le

等于 eq

大于 gt

大于等于 ge

不等 ne
5.包长度过滤

udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和

tcp.len >= 7   指的是ip数据包(tcp下面那块数据),不包括tcp本身

ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后

frame.len == 119 整个数据包长度,从eth开始到最后

eth —> ip or arp —> tcp or udp —> data
6.http模式过滤

http.request.method == “GET”

http.request.method == “POST”

http.request.uri == “/img/logo-edu.gif”

http contains “GET”

http contains “HTTP/1.”

// GET包

http.request.method == “GET” && http contains “Host: “

http.request.method == “GET” && http contains “User-Agent: “

// POST包

http.request.method == “POST” && http contains “Host: “

http.request.method == “POST” && http contains “User-Agent: “

// 响应包

http contains “HTTP/1.1 200 OK” && http contains “Content-Type: “

http contains “HTTP/1.0 200 OK” && http contains “Content-Type: “
7.DHCP

注意：DHCP协议的检索规则不是dhcp/DHCP， 而是bootp

以寻找伪造DHCP服务器为例，介绍Wireshark的用法。在显示过滤器中加入过滤规则，

显示所有非来自DHCP服务器并且bootp.type==0x02（Offer/Ack/NAK）的信息：

bootp.type==0x02 and not ip.src==192.168.1.1