Wireshark過濾所有當前數據包？

Question

假設我要監視[A]應用程序，但該應用程序尚未運行
當我啟動Wireshark時，它將向我顯示網絡適配器中發生的所有事情，因此我像這樣過濾這些數據包

(((((((((((((((((((((((((((((((((((((((((((((((((((((((((!(ip.addr == 192.168.2.3) && !(smb2)) && !(ip.addr == 192.168.2.1)) && .....

您可以從括號中看到我的過濾器多長時間
之后，我看到一個干凈的視圖，幾乎沒有數據包
現在我運行[A]應用程序，並且視圖中幾乎只會看到[A]流量

有沒有一種較短的方法可以實現這一目標，而無需手動制作所有這些過濾器？
例如將當前視圖中的“所有內容”添加到過濾器中，然后我開始[A]來單獨監視它

Answer 1

您可以轉到“數據包詳細信息”窗格，然后右鍵單擊要過濾的某些值，然后使用Wireshark內置的“准備過濾器” /“應用為過濾器”來構建過濾器。

我建議使用更多的白名單過濾（例如“協議== XXX”）而不是黑名單（例如“！（協議== YYY）&&！（協議== ZZZ）”等）。