Wireshark查找与标记数据包

查找数据包

按Ctrl-F。

查找数据包提供了4个选项：

• 显示过滤器（Display filter）：该选项可以让你通过输入表达式进行筛选，并只找出那些满足该表达式的数据包。如：not ip, ip.addr==192.168.0.1, arp
• 十六进制值（Hex value）：改选项使用你所输入的十六进制数对数据包进行搜索。如：00:ff, ff:ff, 00:AB:B1:f0
• 字符串（String）：该选项使用你所输入的字符串对数据包进行搜索。如：Workstation1, UserB, domain
• 正则表达式：该选项使用正则表达式进行搜索

如果想找下一个匹配的选项，按Ctrl-N，想找前一个，按Ctrl-B。

标记数据包

如果你想要标记一个数据包，右击Packet List面板，并在弹出菜单中选择Mark Packet（标记/取消标记 分组），或者在Packet List面板中选中一个数据包，然后按Ctrl-M。如果想取消对一个数据包的标记，再按一次Ctrl-M就可以将其取消。再一次捕获中，你想标记多少个数据包都可以。如果你想要在标记的数据包间前后切换，分别按SHIFT-CTRL-N和SHIFT-CTRL-B即可。