过滤器分为抓包过滤器和显示过滤器，抓包过滤器会将不满足过滤条件的包丢弃，只保留满足条件的包，而显示过滤器则是对已抓取的包做过滤，过滤出满足条件的包。
抓包过滤器语法
使用的是BFP语法（Berkeley Packet Filter），一共四个元素：
- 类型（Type）
- host、net、port
- 方向（Dir）
- src、dst
- 协议（Proto）
- ether、ip、tcp、udp、http、ftp
- 逻辑运算符
&&与||或!非
抓取源地址为192.168.1.1，目的端口为80的流量
src host 192.168.1.1 && dst port 80
抓取192.168.1.1和192.168.1.2的流量
host 192.168.1.1 || host 192.168.1.2
不要抓取广播包
! broadcast
过滤mac地址：
ether host 00:88:ca:86:f8:0d
显示过滤器语法
比较符：
==等于!=不等于-
>大于 <小于>=大于等于-
<=小于等于
逻辑操作符：
- and 两个条件同时满足
- or 其中一个条件被满足
- xor 有且仅有一个条件被满足
- not 没有条件被满足
ip地址：
- ip.addr ip地址
- ip.src 源ip
- ip.dst 目标ip
端口过滤：
- tcp.port
- tcp.srcport
- tcp.dstport
- tcp.flags.syn 过滤包含tcp的syn请求的包
- tcp.flags.ack 过滤包含tcp的ack应答的包
协议过滤：
arp、ip、icmp、udp、tcp、bootp、dns等
过滤IP地址：
ip.addr == 192.168.1.1 过滤该地址的包
ip.src == 172.16.1.1 过滤源地址为该地址的包
过滤端口：
tcp.port == 80 过滤tcp中端口号为80的包
tcp.flags.syn == 1 过滤syn请求为1的包
结合逻辑符综合过滤：
ip.src == 192.168.1.1 and ip.dst == 172.16.1.1
来源：https://blog.csdn.net/qq_18998145/article/details/100118630