过滤规则
1根据端口
udp.port == 5060
tcp.port == 8080
2根据IP地址
ip.addr == 192.168.11.172（不区分源或者目的地址）
ip.src == 10.64.49.44(源地址)
ip.dst == 10.64.49.44(目的地址)
3根据报文长度
tcp.len == 17
udp.length > 100
4 协议报文内容匹配字符串
过滤HTTP报文中携带Server的报文
http contains “Server”
过滤TCP报文中携带car字符串
tcp contains “car”
过滤UDP报文中携带13090911522930092设备编码
udp contains “130909115229300920”
udp contains “INVITE”
备注：采用tcp contains 无法搜索匹配websocket报文的内容
5根据偏移量匹配字符串
TCP有40个字节的报头，UDP有8个字节的报头
udp[8:3] == “SIP” 跳过8个字节的UDP报头，然后连续三个字节的字符串是SIP
6捕获指定的二进制字符串
tcp contains 00:00:00:01:67 （捕获SPS视频数据包）
备注：采用tcp contains 无法搜索匹配websocket报文的内容
7使用and or进行多条件判断
ip.src ==192.168.11.172 and tcp.port == 27001
版本说明
选择64位版本解决32位程序受限于2G内存的问题
Wireshark-win64-4.0.4.exe
相比于Wireshark32_2.4.0rc2.exe旧版本，不再依赖安装Npcap组件，实现本地回环地址的抓包，自身携带该组件
注意：某些Window10系统安装失败
Wireshark32_2.4.0rc2.exe
1）捕获回环包（安装Npcap组件）
（本地127.0.0.1之间的通信包）
说明默认情况下安装的Wireshark软件，无法捕获回环包（本地127.0.0.1之间的通信包），需要安装Npcap组件包。Npcap安装过程中会提示卸载WinPcap，按照操作点击确定卸载就行
下载Npcap
下载网址： https://npcap.com/#download
下载路径：Npcap: Windows Packet Capture Library & Driver (nmap.org)
下载文件：Npcap 1.31 installer
部署环境：Win10 + Wireshark32_2.4.0rc2.exe
安装完成：出现这个网卡适配器Adapter for loopback traffic capture，点击这个就可以获取回环包
注意：网上提醒这种方式会对无线网卡上网造成影响
小技巧绕过安装npcap
指定本机发送给自身的IP数据包发送到网关，这样子网关再将数据返回给本机
route add 192.168.11.172 mask 255.255.255.255 192.168.11.254
注意： Wireshark会抓包，并且写入文件，耗尽C盘空间33G，文件存放地址:C:\Users\admin\AppData\Local\Temp,通过删除XXX.pcapng后缀文件，释放空间
界面布局
垂直三屏界面分割，方便上下滑动查看所有的内容
网卡过滤器说明
保存选项说明
点击文件，选择导出特定分组，只会保存目前正在显示的报文（也就是过滤的报文），减少数据的保存
协议解析说明
TLS协议解析
默认情况443端口是TLS加密连接的解析协议端口，8080是TCP协议端口，如果8080端口采用HTTPS方式访问，如果需要解析成TLS加密协议，需要点击分析>>解码为>>端口解析协议指定为TLS
备注说明：当前2.40版本无法指定TLS协议，需要进行wireshark升级，然后就可以看到client hello TLS协议包
RTP
RTP over UDP可以通过指定解析协议，查看分析内容，RTP over TCP无法分析
Wireshark or one of its associated programs is running. Please close it first.解决方案
场景
卸载Wireshark32_2.4.0rc2版本的时候，提示出错如上
解决方案
通过任务管理器，查看到有dumpcap进程还在运行，鼠标右键选择结束进程，解决问题
引申
通过控制台命令查看有没有cap进程
tasklist | findstr -i "cap"
或者查看有没有wireshark相关组件进程没有彻底关闭，例如usbcap, dumpcap
The temporary file to which the capture would be saved (“”) could not be opened: No such file or directory
卸载wireshark，然后重装最新版本Wireshark-win64-4.0.4.exe，重启系统
