标签：
Wireshark捕获的数据包种类复杂、繁多，通过过滤规则能较快的捕获我们关注的数据包，可以捕获经过指定IP的数据包，按照分类可以分为捕获过滤、显示过滤。
显示过滤：可以完整的复现测试时的网络环境，但会产生较大的捕获文件和内存占用。
捕获过滤：在capture option中设置，仅捕获符合条件的包，可以避免产生较大的捕获文件和内存占用，但不能完整的复现测试时的网络环境。
Wireshark过滤指定IP收发数据包示例：
（1）抓取所有目标地址是192.168.1.2或者192.168.1.3端口是80的TCP数据
(tcp port 80) and ((dst host 192.168.1.2) or (dst host 192.168.1.3))//捕获过滤
tcp.port==80&&(ip.dst==192.168.1.2||ip.dst==192.168.1.3) //显示过滤
（2）抓取所有目的网络是192.168，但是目的主机不是192.168.1.2的TCP数据
(tcp) and ((dst net 192.168) and (not dst host 192.168.1.2))
tcp&&ip.dst==192.168.0.0/16&&!(ip.dst==192.168.1.2)
（3）捕获主机192.168.1.1接收或者发出的telnet包，telnet使用tcp 23端口
tcp port 23 and host 192.168.1.1
tcp.port==23&&ip.addr==192.168.1.1
上面只列举几个例子。
另外看到一个博客中介绍这块的也比较具体，可参考：http://www.cnblogs.com/einyboy/archive/2012/12/12/2815080.html
标签：
原文地址：http://www.cnblogs.com/baobao-caicai/p/4882692.html
