wireshark过滤器使用规则介绍
wireshark过滤器语法规则
wireshark过滤器语法规则Wireshark过滤器语法规则包括以下部分：1. 协议类型限定词：用以指明抓取的数据包所属的协议类型。
这可以是诸如以太网（ether）、令牌环网（fddi）、IP协议（ip）、地址解析协议（arp）、反向地址解析协议（rarp）、DECnet 协议（decnet）、局部事务传输协议（lat）、同步通信流控制传输协议（sca）、MOP控制协议（moprc）、MOP下行链路协议（mopdl）、传输控制协议（tcp）和用户数据报协议（udp）等协议。
2. 方向限定词：用于指明数据包的传输方向。
这可以是源地址（src）、目的地址（dst）、源地址和目的地址（src and dst）、源地址或目的地址（src or dst）等。
3. 类型限定词：用于指明数据包的具体属性。
这可以是主机（host）、网络（net）、端口（port）、远程主机（rhost）、目的主机（dhost）、源主机（shost）等。
4. 具体的值：这是指具体的IP地址、MAC地址、端口号等。
需要注意的是，如果没有指明协议类型，默认使用所有支持的协议。
语法格式为：[协议类型限定词] [方向限定词] 类型限定词具体的值。
例如，如果你想抓取源地址为***.***.*.**，目的地址为192.Wireshark过滤器语法规则包括以下部分：1. 协议类型限定词：用以指明抓取的数据包所属的协议类型。
这可以是诸如以太网（ether）、令牌环网（fddi）、IP协议（ip）、地址解析协议（arp）、反向地址解析协议（rarp）、DECnet 协议（decnet）、局部事务传输协议（lat）、同步通信流控制传输协议（sca）、MOP控制协议（moprc）、MOP下行链路协议（mopdl）、传输控制协议（tcp）和用户数据报协议（udp）等协议。
2. 方向限定词：用于指明数据包的传输方向。
这可以是源地址（src）、目的地址（dst）、源地址和目的地址（src and dst）、源地址或目的地址（src or dst）等。
wireshark书写过滤规则
wireshark书写过滤规则Wireshark是一种网络数据包分析工具，它可以帮助我们捕获和分析网络数据流量。
为了更好地利用Wireshark来分析网络数据包，我们可以使用过滤规则来过滤出我们需要的数据。
过滤规则是Wireshark中用于筛选网络数据包的一种方式。
通过编写过滤规则，我们可以根据特定的条件筛选出我们感兴趣的数据包，以便更好地进行分析和研究。
在编写过滤规则时，我们需要注意以下几点：1. 不输出HTTP地址：Wireshark默认会捕获所有的网络数据包，包括HTTP协议的数据包。
但是在某些情况下，我们可能只关注非HTTP协议的数据包，此时我们可以使用过滤规则来排除HTTP地址。
2. 不输出公式：在过滤规则中，我们不需要使用任何公式或数学符号。
过滤规则主要是基于协议、IP地址、端口等网络相关的条件进行筛选。
3. 避免内容重复：在编写文章时，我们应该避免内容的重复。
每个段落应该有独立的主题和内容，以确保文章的整体结构清晰。
4. 规范整洁的格式：文章应该使用恰当的段落和标题，使结构清晰，易于阅读。
同时，文章中的语法和拼写应该正确，避免出现错误或歧义的信息。
5. 不使用图片链接：在文章中，我们不需要使用图片链接来说明过滤规则。
我们可以使用文字来描述过滤规则的逻辑和条件。
6. 不使用"如图所示"：在描述过滤规则时，我们不需要使用"如图所示"这样的词语。
可以直接使用文字来描述过滤规则的内容。
7. 不重复问题：在文章中，我们应该避免重复提问相同的问题。
每个段落应该有独立的内容和观点。
8. 不自我介绍：在文章中，我们不需要进行自我介绍或描述个人背景。
重点应该放在过滤规则的内容上。
9. 清晰的表达和丰富的词汇：在编写过滤规则时，我们应该使用清晰明了的语句，避免使用复杂或晦涩的表达方式。
同时，我们也可以使用丰富的词汇来描述过滤规则的逻辑和条件。
10. 使用中文描述：在文章中，我们可以使用中文来描述过滤规则的内容。
wireshark常用过滤规则
wireshark常用过滤规则Wireshark 是一款网络协议分析工具，可以捕获和分析网络数据包。
Wireshark 支持使用过滤规则来筛选和显示特定类型的数据包。
以下是一些常用的Wireshark 过滤规则：1. IP 地址过滤：-显示特定源或目标IP 地址的数据包。
```ip.addr == 192.168.1.1```2. 端口过滤：-显示特定源或目标端口的数据包。
```tcp.port == 80```3. 协议过滤：-显示特定协议的数据包，如TCP、UDP、ICMP。
```tcp```4. 主机过滤：-显示与指定主机通信的数据包。
```host 192.168.1.1```5. 子网过滤：-显示特定子网的数据包。
```net 192.168.1.0/24```6. 时间戳过滤：-根据时间戳范围显示数据包。
```frame.time >= "2023-01-01 00:00:00" && frame.time <= "2023-01-01 23:59:59"```7. HTTP 过滤：-显示包含HTTP 数据的数据包。
```http```8. 过滤特定协议的数据包：-显示特定协议的数据包，如ARP、ICMP、DNS。
```arp```9. 特定源或目标主机和端口的过滤：-显示特定源或目标主机和端口的数据包。
```ip.src == 192.168.1.1 && tcp.dstport == 80```10. 过滤包含关键字的数据包：-显示包含特定关键字的数据包。
```contains "keyword"```这只是一些常见的例子，Wireshark 提供了丰富的过滤规则，可以根据需要进行更复杂的过滤。
你可以在Wireshark 的过滤表达式中查找更多详细信息，以满足特定需求。
wireshard 过滤条件
Wireshark 过滤条件1. 介绍Wireshark 是一款开源的网络分析工具，它能够捕获和分析网络数据包。
Wireshark 提供了强大的过滤功能，使用户能够根据自己的需求筛选出感兴趣的数据包。
本文将详细介绍 Wireshark 的过滤条件，并提供一些常用的过滤条件示例。
2. Wireshark 过滤条件语法Wireshark 过滤条件使用的是一种类似于 BPF（Berkeley Packet Filter）的语法。
这种语法使用一系列条件和操作符来描述过滤规则。
以下是一些常用的过滤条件语法：•host：根据 IP 地址过滤数据包。
•port：根据端口号过滤数据包。
•tcp：仅显示 TCP 协议的数据包。
•udp：仅显示 UDP 协议的数据包。
•icmp：仅显示 ICMP 协议的数据包。
•http：仅显示 HTTP 协议的数据包。
•ip.src：根据源 IP 地址过滤数据包。
•ip.dst：根据目标 IP 地址过滤数据包。
•ip.addr：根据 IP 地址过滤数据包。
•tcp.port：根据 TCP 端口号过滤数据包。
•udp.port：根据 UDP 端口号过滤数据包。
•icmp.type：根据 ICMP 类型过滤数据包。
3. Wireshark 过滤条件示例3.1 过滤特定 IP 地址的数据包要过滤特定 IP 地址的数据包，可以使用ip.addr过滤条件。
例如，要过滤源 IP 地址为 192.168.1.1 的数据包，可以使用以下过滤条件：ip.addr == 192.168.1.13.2 过滤特定端口号的数据包要过滤特定端口号的数据包，可以使用tcp.port或udp.port过滤条件。
例如，要过滤源端口号为 80 的数据包，可以使用以下过滤条件：tcp.port == 803.3 过滤特定协议的数据包要过滤特定协议的数据包，可以使用相应的协议过滤条件。
例如，要过滤 ICMP 协议的数据包，可以使用以下过滤条件：icmp3.4 组合使用多个过滤条件可以通过逻辑操作符（如and、or、not）组合使用多个过滤条件。
wireshark 组播 过滤规则
wireshark 组播过滤规则Wireshark是一款常用的网络数据包分析工具，它可以用来捕获、分析和展示网络数据包。
在网络中，组播(Multicast)是一种常用的数据传输方式，它可以将一个数据包同时发送给多个目标地址，而不必为每个目标地址单独发送数据包。
本文将介绍如何使用Wireshark 的过滤规则来捕获和分析组播数据包。
一、组播地址在IPv4网络中，组播地址是224.0.0.0至239.255.255.255之间的地址。
其中，224.0.0.0至224.0.0.255是本地组播地址，用于同一个网络中的主机之间通信；224.0.1.0至238.255.255.255是全局组播地址，用于跨越多个网络的主机之间通信。
在IPv6网络中，组播地址是ff00::/8，其中ff02::1是所有节点组播地址，ff02::2是所有路由器组播地址。
二、捕获组播数据包在Wireshark中，可以使用以下过滤规则来捕获组播数据包：1. 捕获本地组播数据包：ip.dst==224.0.0.0/242. 捕获全局组播数据包：ip.dst==224.0.1.0/243. 捕获所有组播数据包：ip.dst==224.0.0.0/4三、分析组播数据包在Wireshark中，可以使用以下功能来分析组播数据包：1. 分组视图(Grouping view)：将组播数据包按照IP地址或协议类型进行分组，便于查看。
2. 流视图(Stream view)：将组播数据包按照流的方式展示，便于查看流的传输情况。
3. 协议分析(Protocol analysis)：Wireshark可以对组播数据包进行协议分析，展示每个协议的详细信息。
4. 统计信息(Statistics)：Wireshark可以生成各种统计信息，如流量、协议使用情况等。
总结：本文介绍了如何使用Wireshark的过滤规则来捕获和分析组播数据包。
通过分组视图、流视图、协议分析和统计信息等功能，我们可以更深入地了解组播数据包的传输情况和协议使用情况，便于优化网络性能和故障排除。
wireshark过滤器利用规则介绍
之前学习Wireshark，看到wireshark简明教程里有关过滤器的介绍，特别是新手不明白捕捉过滤器和显示过滤器的区别与作用。
这篇文章感觉写的挺好，解答了我的疑惑，毕竟看英文也是挺吃力的而且自己理解意思也不太明确。
特地转来，顺便加了点料，特来分享。
利用Wireshark时最多见的问题，是当您利用默许设置时，会取得大量冗余信息，以至于很难找到自己需要的部份。
这就是为何过滤器会如此重要。
它们可以帮忙咱们在庞杂的结果中迅速找到咱们需要的信息。
过滤器的区别捕捉过滤器（CaptureFilters）：用于决定将什么样的信息记录在捕捉结果中。
需要在开始捕捉前设置。
显示过滤器（DisplayFilters）：在捕捉结果中进行详细查找。
他们可以在取得捕捉结果后随意修改。
那么我应该利用哪一种过滤器呢？两种过滤器的目的是不同的。
捕捉过滤器是数据通过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日记文件。
显示过滤器是一种更为壮大（复杂）的过滤器。
它允许您在日志文件中迅速准确地找到所需要的记录。
两种过滤器利用的语法是完全不同的。
捕捉过滤器语法：ProtocolDirectionHost(s)ValueLogicalOperationsOtherexpression例子：tcp dst8andtcp dst3128Protocol（协议）:可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.若是没有特别指明是什么协议，则默许利用所有支持的协议。
Direction（方向）:可能的值: src, dst, src and dst, src or dst若是没有特别指明来源或目的地，则默许利用“src or dst” 作为关键字。
例如，”host ″与”src or dst host ″是一样的。
Host(s):可能的值：net, port, host, portrange.若是没有指定此值，则默许利用”host”关键字。
wireshark简单的过滤规则
wireshark简单的过滤规则Wireshark是一种流行的网络协议分析工具，该工具可用于监视应用程序和网络交互，并生成网络数据包捕获，以便进行进一步的分析和诊断。
Wireshark提供了过滤功能，用于筛选特定类型的流量，以便更轻松地分析和理解数据包。
这篇文章将介绍Wireshark的基本过滤规则及其用途。
过滤规则介绍在Wireshark中，过滤规则是一个用于匹配网络数据包的表达式。
基本上，这些表达式由一个或多个过滤选项组成，其中每个过滤选项包含一个字段名称和一个值。
Wireshark支持多种过滤选项，包括源地址，目标地址，协议等等。
Wireshark可以使用过滤规则找到哪些数据包符合你提供的特定条件，方便我们查看数据包的具体内容。
以下是一些常见的Wireshark过滤规则：1. hosthost过滤规则可用于查找目标主机的数据包。
指定该选项后，Wireshark将只显示与该特定主机通信的流量。
使用该选项的过滤语法如下：host host_address其中，host_address可以是IP地址或主机名。
如果要查找源或目标地址是特定IP地址的数据包，只需将该IP地址用作host_address的参数即可。
2. ipip过滤规则用于基于IP协议来查找数据包。
该规则捕获传输层协议数据单元的所有IP数据包。
使用该规则的语法如下：ip.addr == IP_address其中，IP_address可以是源或目标IP地址，也可以是IP地址范围。
3. port端口过滤规则是最常见的过滤规则之一。
使用该规则时，可以指定TCP或UDP 端口号来查找数据包。
语法如下：tcp.port == port_number或者udp.port == port_number其中，port_number是目标端口号。
4. protocol使用协议过滤规则可以针对传输层协议类型（如TCP或UDP）进行过滤。
语法如下：tcp.protocol == “http”或者udp.protocol == “dhcp”其中，“http”和“dhcp”分别是协议名称。
Wireshark菜单及过滤规则
Wireshark菜单说明Wireshark官方下载地址：/download.html菜单栏1、File菜单介绍File ——包括打开、合并捕捉文件，save/保存,Print/打印,Export/导出捕捉文件的全部或部分。
以及退出Wireshark项.2、Edit菜单项 Edit——包括如下项目：查找包，时间参考，标记一个多个包，设置预设参数。
（剪切，拷贝，粘贴不能立即执行。
）3、“View”菜单项View ——控制捕捉数据的显示方式，包括颜色，字体缩放，将包显示在分离的窗口，展开或收缩详情面版的地树状节点4、“GO”菜单项GO——包含到指定包的功能。
5、Capture——捕捉数据包“Capture”菜单项Analyze ——包含处理显示过滤，允许或禁止分析协议，配置用户指定解码和追踪TCP流等功能“analyze”菜单项Statistics ——包括的菜单项用户显示多个统计窗口，包括关于捕捉包的摘要，协议层次统计等等。
Help——包含一些辅助用户的参考内容。
如访问一些基本的帮助文件，支持的协议列表，用户手册。
在线访问一些网站，“关于”捕捉过滤器（CaptureFilters）：用于决定将什么样的信息记录在捕捉结果中。
需要在开始捕捉前设置。
显示过滤器（DisplayFilters）：在捕捉结果中进行详细查找。
可以在得到捕捉结果后随意修改。
两种过滤器的目的是不同的。
捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。
显示过滤器是一种更为强大（复杂）的过滤器。
它允许您在日志文件中迅速准确地找到所需要的记录。
两种过滤器使用的语法是完全不同的。
捕捉过滤器Protocol（协议）:可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp. 如果没有特别指明是什么协议，则默认使用所有支持的协议。
Wireshark基本用法过滤规则协议详解
Wireshark基本⽤法过滤规则协议详解基本使⽤:协议解析:(1)版本，占4位，指IP协议的版本，⽬前⼴泛使⽤的IP协议版本号为4（即）。
2)⾸部长度，占4位，可表⽰的最⼤⼗进制数值是15。
请注意，这个字段所表⽰数的单位是32位字长（1个32位字长是4字节），因此，当IP 的⾸部长度为1111时（即⼗进制的15），⾸部长度就达到60字节。
当IP分组的⾸部长度不是4字节的整数倍时，必须利⽤最后的填充字段加以填充。
因此数据部分永远在4字节的整数倍开始，这样在实现IP协议时较为⽅便。
⾸部长度限制为60字节的缺点是有时可能不够⽤。
但这样做是希望⽤户尽量减少开销。
最常⽤的⾸部长度就是20字节（即⾸部长度为0101），这时不使⽤任何选项。
(3)服务类型，占8位，⽤来获得更好的服务，但实际上⼀直没有被使⽤过。
1998年IETF把这个字段改名为区分服务DS(Differentiated Services)。
只有在使⽤区分服务时，这个字段才起作⽤。
(4)总长度，总长度指⾸部和数据之和的长度，单位为字节。
总长度字段为16位，因此数据报的最⼤长度为2^16-1=65535字节。
在IP层下⾯的每⼀种数据链路层都有⾃⼰的帧格式，其中包括帧格式中的数据字段的最⼤长度，这称为最⼤传送单元MTU(Maximum Transfer Unit)。
当⼀个数据报封装成链路层的帧时，此数据报的总长度（即⾸部加上数据部分）⼀定不能超过下⾯的数据链路层的MTU值。
PS：图中总长度为84个字节，ping包默认为56个字节，ICMP包头是8个字节，再加上⾸部长度20个字节。
下图我将包长度设置为112个字节后，总长度就变成140个字节了(5)标识(identification)，占16位。
IP软件在存储器中维持⼀个计数器，每产⽣⼀个数据报，计数器就加1，并将此值赋给标识字段。
但这个“标识”并不是序号，因为IP是⽆连接服务，数据报不存在按序接收的问题。
wireshark 常用的过滤规则
Wireshark是一款开源的网络协议分析工具，它能够捕获和分析网络数据包，帮助网络管理员和安全专家监控和排查网络问题。
在Wireshark中，过滤规则是非常重要的功能，通过过滤规则可以筛选出感兴趣的数据包，便于分析和统计。
1. 基本过滤规则基本过滤规则是Wireshark中最常用的过滤规则，它可以根据数据包的源位置区域、目的位置区域、协议、端口和数据包内容等进行过滤。
以下是一些常用的基本过滤规则示例：- 源位置区域过滤：ip.src==192.168.1.1这条过滤规则可以筛选出源位置区域为192.168.1.1的所有数据包。
- 目的位置区域过滤：ip.dst==192.168.1.1这条过滤规则可以筛选出目的位置区域为192.168.1.1的所有数据包。
- 协议过滤：网络协议这条过滤规则可以筛选出所有HTTP协议的数据包。
- 端口过滤：tcp.port==80这条过滤规则可以筛选出目的端口为80的所有TCP协议数据包。
- 数据包内容过滤：网络协议.request.method=="GET"这条过滤规则可以筛选出所有HTTP请求方法为GET的数据包。
2. 复合过滤规则除了基本过滤规则外，Wireshark还支持复合过滤规则，用户可以通过逻辑运算符（与、或、非）将多个基本过滤规则组合起来。
以下是一些常用的复合过滤规则示例：- 与运算符（and）：ip.src==192.168.1.1 and tcp.port==80这条过滤规则可以筛选出源位置区域为192.168.1.1且目的端口为80的所有数据包。
- 或运算符（or）：网络协议 or dns这条过滤规则可以筛选出所有HTTP协议或DNS协议的数据包。
- 非运算符（not）：not tcp.port==22这条过滤规则可以排除目的端口为22的所有数据包。
3. 特定协议过滤规则Wireshark对于各种网络协议都有特定的过滤规则，用户可以根据具体的协议特点进行定制化的过滤规则。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Wireshark过滤器使用规则介绍
之前学习Wireshark，看到wireshark简明教程里有关过滤器的介绍，特别是新手不明白捕捉过滤器和显示过滤器的区别与作用。
这篇文章感觉写的挺好，解答了我的疑惑，毕竟看英文也是挺吃力的而且自己理解意思也不太明确。
特地转来，顺便加了点料，特来分享。
使用Wireshark时最常见的问题，是当您使用默认设置时，会得到大量冗余信息，以至于很难找到自己需要的部分。
这就是为什么过滤器会如此重要。
它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。
过滤器的区别
捕捉过滤器（CaptureFilters）：用于决定将什么样的信息记录在捕捉结果中。
需要在开始捕捉前设置。
显示过滤器（DisplayFilters）：在捕捉结果中进行详细查找。
他们可以在得到捕捉结果后随意修改。
那么我应该使用哪一种过滤器呢？
两种过滤器的目的是不同的。
捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。
显示过滤器是一种更为强大（复杂）的过滤器。
它允许您在日志文件中迅速准确地找到所需要的记录。
两种过滤器使用的语法是完全不同的。
捕捉过滤器
语法：Protocol Direction Host(s)Value Logical
Operations
Other expression
例子：tcp dst 10.1.1.1 80 and tcp dst 10.2.2.2 3128
Protocol（协议）:
可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.
如果没有特别指明是什么协议，则默认使用所有支持的协议。
Direction（方向）:
可能的值: src, dst, src and dst, src or dst
如果没有特别指明来源或目的地，则默认使用“src or dst” 作为关键字。
例如，”host 10.2.2.2″与”src or dst host 10.2.2.2″是一样的。
Host(s):
可能的值： net, port, host, portrange.
如果没有指定此值，则默认使用”host”关键字。
例如，”src 10.1.1.1″与”src host 10.1.1.1″相同。
Logical Operations（逻辑运算）:
可能的值：not, and, or.
否(“not”)具有最高的优先级。
或(“or”)和与(“and”)具有相同的优先级，运算时从左至右进行。
例如，
“not tcp port 3128 and tcp port 23″与”(not tcp port 3128) and tcp port 23″相同。
“not tcp port 3128 and tcp port 23″与”not (tcp port 3128 and tcp port 23)”不同。
例子：
tcp dst port 3128
显示目的TCP端口为3128的封包。
ip src host 10.1.1.1
显示来源IP地址为10.1.1.1的封包。
host 10.1.2.3
显示目的或来源IP地址为10.1.2.3的封包。
src portrange 2000-2500
显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。
not imcp
显示除了icmp以外的所有封包。
（icmp通常被ping工具使用）
src host 10.7.2.12 and not dst net 10.200.0.0/16
显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。
(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8
显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16，目的地TCP端口号在200至10000之间，并且目的位于网络 10.0.0.0/8内的所有封包。
src net 192.168.0.0/24
src net 192.168.0.0 mask 255.255.255.0
显示来源IP地址为10.1.1.1的封包。
注意事项：
当使用关键字作为值时，需使用反斜杠“\”。
“ether proto \ip” (与关键字”ip”相同).
这样写将会以IP协议作为目标。
“ip proto \icmp” (与关键字”icmp”相同).
这样写将会以ping工具常用的icmp作为目标。
可以在”ip”或”ether”后面使用”multicast”及”broadcast”关键字。
当您想排除广播请求时，”no broadcast”就会非常有用。
Protocol（协议）:
您可以使用大量位于OSI模型第2至7层的协议。
点击”Expression…”按钮后，您可以看到它们。
比如：IP，TCP，DNS，SSH
String1, String2 (可选项):
协议的子类。
点击相关父类旁的”+”号，然后选择其子类。
Comparison operators （比较运算符）:
可以使用6种比较运算符：
英文写法：C语言写法：含义：
eq == 等于
ne != 不等于
gt > 大于
lt < 小于
ge >= 大于等于
le <= 小于等于
Logical expressions（逻辑运算符）:
英文写法：C语言写法：含义：
and && 逻辑与
or || 逻辑或
xor ^^ 逻辑异或
not ! 逻辑非
显示过滤器
语法：Protocol.
String
1
.
String
2
Comparison
operator
Value
Logical
Operations
Other
expression
例
子：
ftp passive ip == 10.2.3.4 xor icmp.type 例子：
snmp || dns || icmp显示SNMP或DNS或ICMP封包。
ip.addr == 10.1.1.1
显示来源或目的IP地址为10.1.1.1的封包。
ip.src != 10.1.2.3 or ip.dst != 10.4.5.6
显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3以外任意；目的IP：任意
以及
来源IP：任意；目的IP：除了10.4.5.6以外任意
ip.src != 10.1.2.3 and ip.dst != 10.4.5.6
显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。
换句话说，显示的封包将会为：
来源IP：除了10.1.2.3以外任意；同时须满足，目的IP：除了10.4.5.6以外任意
tcp.port == 25显示来源或目的TCP端口号为25的封包。
tcp.dstport == 25显示目的TCP端口号为25的封包。
tcp.flags显示包含TCP标志的封包。
tcp.flags.syn == 0×02显示包含TCP SYN标志的封包。
如果过滤器的语法是正确的，表达式的背景呈绿色。
如果呈红色，说明表达式有误。