wireshake数据包分割及捕包过滤器介绍
by:授客 QQ：1033553122
wireshake自带工具editcap分割数据包
操作：
进入到目录，然后 editcap.exe -c <输出文件所包含的数据包个数><要分割的数据包><被分割后的数据包名称前缀及后缀>
举例：
D:Program FilesWireshark>editcap.exe -c 60000 pcap_00012_20130130103516.pcap zhiye.pcap
附：Wireshark在线用户手册
http://man.lupaworld.com/content/network/wireshark
附：捕包过滤字段
http://man.he.net/man7/pcap-filter
常用捕包过滤器
src host host #仅捕源主机为host的数据包
举例：src host 10.5.8.185
host host #仅捕源主机为host或目的主机为host的数据包
举例：host 10.5.8.185
以上的任何一个过滤表达式都可以这样写在前面加些关键词：ip,arp,rarp,ip6,格式形如：ip host host，ip src host host，如果host是一个多ip主机名，则每个ip地址都会进行匹配检测并捕获
ether dst ehost #仅捕获目的主机为ehost的数据包，ehost可能是一个来自/etc/ethers的主机名或者一个数字
ether src ehost #仅捕获目的主机为ehost的数据包
ether host ehost #仅捕获目的主机为ehost或者源主机为ehost的数据包
gateway host #仅捕获网关为host的数据包
dst net net #仅捕获给定网络的数据包，net可以是来自网络数据库的名字，或者一个网络号
举例：dst net 10.4 #捕获10.4网段的数据包
net net/len #仅捕获给定网段的数据包
举例：net 10.4.0.0/16
port number #仅捕获指定端口number号的数据包
举例：捕获来自tcp、udp 端口80的协议数据包
port 80
tcp port http #捕获来自http tcp 端口80的数据包
tcp #仅捕获tcp协议数据包
udp #仅捕获udp协议数据包
dst port port #仅捕获目标端口为port的数据包一般都是tcp,udp等占用的端口，端口可以是/etc/services的一个名字，也可以是个数字，如果名字存在歧义时仅进行端口数值的匹配
举例：dst port 137
src port port #仅捕获源端口为port的数据包
举例：src port 455
dst portrange port1-port2 #仅捕获目的端口在port1到port2之间的数据包
举例：dst portrange 1-400
src portrange port1-port2 #仅捕获源端口在port1到port2之间的数据包
举例:dst portrange 1-400
说明：以上端口或端口范围表达式前可以加关键词：tcp、udp，形如: tcp
src port port #仅捕获tcp协议且源端口为port端口的的数据包
less length #仅捕获包长(个人理解：数据帧长度(Frame length))小于等于length的数据包等同 len <= length.
greater length #仅捕获包长大于等于length的数据包等同len >= length.
ip protochain protocol 等同ip6 protochain protocol,但是这个用于ipv4
ether broadcast #捕获以太网广播包.
ip broadcast #捕获ipv4广播包，检测全0到全1的广播会话，并且查找正在捕包接口的子网掩码，如果捕包接口的子网掩码不可获取，可能是因为接口没设置子网掩码，或者捕包接口为linux的“any”任意接口，这样会捕获多余一个接口的数据，这个会导致捕包不正确
ether multicast #捕获以太网组播数据包
ip multicast #捕获ipv4组播数据包
ip6 multicast #捕获ipv6组播数据包
not broadcast and not multicast #不捕获广播和组播数据包
ip #仅捕获包含指定ip的数据包
not arp #不捕获arp数据包
decnet src host #捕获DECNET源地址为host的数据包，host可以是一个DECENT主机名或者一个形如10.123的地址[DECNET host name support is only available on ULTRIX systems that are configured to run DECNET.]
decnet dst host #捕获DECNET目的地址为host的数据包
decnet host host #捕获DECNET源地址或目的地址为host的数据包
ifname interface #捕获来自指定interface 的数据 (applies only to packets logged by OpenBSD's or FreeBSD's).
on interface #同ifname interface.
rnr num #捕获同指定pf规则号(applies only to packets logged by OpenBSD's or FreeBSD's)匹配的数据包