3. 抓包基础：过滤器的使用与关键字段识别

说实话，很多新手拿到 Wireshark 第一反应就是点「开始捕获」，然后看着满屏花花绿绿的包发呆。我当年也是这样，抓了十分钟，眼睛都看花了，就是找不到自己要的那个包。

其实啊，抓包这活儿，80% 的时间不是在「抓」，而是在「筛」。你想想看，一个正常的 WiFi 环境，每秒少说几十个包在飞。广播包、组播包、ARP、DNS、Beacon……全混在一起。不学会用过滤器，你就是在垃圾堆里找钻石。

3.1 捕获过滤器 vs 显示过滤器

Wireshark 给了我们两把筛子，很多人搞混了。我直接给你画个对比表，一目了然。

3.2 捕获过滤器：BPF 语法速成

BPF 语法看着唬人，其实核心就几个套路。我把它拆成三块，你照着写就行。

3.2.1 基础三要素

• host：按 IP 地址过滤。比如 host 192.168.1.100
• port：按端口过滤。比如 port 80
• proto：按协议过滤。比如 udp、tcp、arp

3.2.2 组合与取反

• and（或 &&）：同时满足。比如 udp and port 12345
• or（或 ||）：满足其一。比如 host 192.168.1.1 or host 192.168.1.2
• not（或 !）：排除。比如 not arp

3.2.3 实战例子

# 只抓 WiFi 配网广播包（假设端口 12345）
udp and port 12345

# 抓某个设备发出的所有包
host 192.168.1.100

# 抓广播包，排除 ARP
udp and not arp

# 抓两个设备之间的通信
host 192.168.1.100 and host 192.168.1.1

3.3 显示过滤器：Wireshark 的瑞士军刀

显示过滤器才是真正的大头。捕获过滤器是「进门前先筛一遍」，显示过滤器是「进门后随便翻」。我平时 90% 的时间都在跟显示过滤器打交道。

3.3.1 常用过滤表达式

3.3.2 组合与取反

显示过滤器的组合逻辑跟 BPF 差不多，但写法更灵活。

# 广播包 + 特定端口
eth.dst == ff:ff:ff:ff:ff:ff and udp.port == 12345

# 排除某个 IP
!ip.addr == 192.168.1.1

# 源 IP 是 A，目标 IP 是 B
ip.src == 192.168.1.100 and ip.dst == 192.168.1.1

3.4 关键字段识别：WiFi 配网广播包长什么样

好了，过滤器会用之后，咱们得知道要盯哪些字段。WiFi 配网广播包，说白了就是设备在局域网里大喊：「我在这！谁来给我配网？」

我以最常见的 ESP-Touch 配网为例，给你拆解一下关键字段。

3.4.1 以太网层（Ethernet II）

• 目标 MAC：ff:ff:ff:ff:ff:ff（广播）或组播 MAC
• 源 MAC：发送设备的 MAC 地址
• 类型：0x0800（IPv4）

3.4.2 IP 层

• 源 IP：发送设备的 IP
• 目标 IP：255.255.255.255（广播）或组播 IP
• 协议：17（UDP）

3.4.3 UDP 层

• 源端口：通常是随机高位端口
• 目标端口：配网约定的端口，比如 12345
• 长度：数据部分长度

3.4.4 应用层（Payload）

这里才是配网的核心数据。ESP-Touch 会把 WiFi 的 SSID 和密码编码在 UDP 数据的特定位置。不同厂商的编码方式不一样，但套路都差不多：长度、序号、数据块、校验。

3.5 本章知识体系

下面这张图，把过滤器的分类、语法、关键字段串起来了。你保存下来，以后用的时候直接看。

3.6 避坑指南：过滤器常见翻车现场

最后，我把自己这些年踩过的坑，列几个最常见的，你遇到了直接对照。

1. 捕获过滤器写错了，包没抓到——比如把 port 写成 ports，Wireshark 不会报错，但就是不生效。我建议你在「捕获选项」里点一下「编译 BPF」，它会告诉你语法对不对。
2. 显示过滤器大小写搞混——Wireshark 的字段名是区分大小写的。比如 eth.dst 是对的，ETH.DST 就不行。我一般直接复制，不手打。
3. 广播包没抓到，以为是丢包——有时候你的网卡没开混杂模式，广播包根本进不来。你检查一下 Wireshark 的捕获选项，确保「混杂模式」是勾上的。
4. 过滤条件太严格，啥都看不到——比如你同时加了 ip.src 和 ip.dst，但方向搞反了，结果一个包都匹配不上。这时候先放宽条件，比如只写 ip.addr，看看有没有数据。