捕捉过滤器：用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。
显示过滤器：在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。

运算符：

Logical expressions（逻辑运算符）：

（一）捕捉过滤器:

Protocol（协议）：

可能的值： ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp。默认使用所有支持的协议。

Direction（方向）：

可能的值： src, dst, src and dst, src or dst。默认使用 “src or dst” 作为关键字。

例如，”host 10.2.2.2″与”src or dst host 10.2.2.2″是一样的。

Host(s)：

可能的值： net, port, host, portrange。默认使用”host”关键字。

例如，”src 10。1。1。1″与”src host 10。1。1。1″相同。

Logical Operations（逻辑运算）：

可能的值：not, and, or。优先级：not>and>or。

例如，

“not tcp port 3128 and tcp port 23″与”(not tcp port 3128) and tcp port 23″相同。

“not tcp port 3128 and tcp port 23″与”not (tcp port 3128 and tcp port 23)”不同。比较 (二)显示过滤器：

例子：

snmp || dns || icmp 显示SNMP或DNS或ICMP封包。

ip.addr == 10.1.1.1

显示来源或目的IP地址为10.1.1.1的封包。

ip.src != 10.1.2.3 or ip.dst != 10.4.5.6

显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。

tcp.port == 25 显示来源或目的TCP端口号为25的封包。

tcp.dstport == 25 显示目的TCP端口号为25的封包。

tcp.flags 显示包含TCP标志的封包。

tcp.flags.syn == 0×02 显示包含TCP SYN标志的封包。

如果过滤器的语法是正确的，表达式的背景呈绿色。如果呈红色，说明表达式有误。