网络协议分析期末复习和学习专题（一）

期末重点
1.过滤器:区分显示过滤器和捕获过滤器;表达式写监听端口和报文.
2.嗅探:通过集线器，交换机或其他设备进行嗅探;以及嗅探器的位置;网卡可以进行嗅探的原因(混杂模式).
3.网络协议分析:IP头,TCP报文结构,各种网络协议报头域功能,ARP,IP,ICMP,三次握手四次挥手,DNS,HTTP.
4.实验报文的分析:查看实验报告进行分析.

过滤器
Wireshark的过滤机制主要包括显示过滤与捕获过滤两种类型。其中，显示过滤用于在已捕获的数据包中筛选出符合特定条件的信息；而捕获过滤则是在数据包尚未被捕获之前，就设定好筛选规则，仅记录符合条件的数据。

为何Wireshark采用两套不同的过滤机制？这主要源于其依赖于winpcap或libpcap这类第三方库来实现对网卡数据的采集。因此，捕获阶段所使用的规则沿用了这些外部库的标准。而在处理已获取数据包时，Wireshark自行开发了一套更为灵活的显示过滤系统。

捕捉过滤器（CaptureFilters）：用于确定哪些信息会被记录到捕捉结果中，并需在开始捕捉前完成设置。

显示过滤器（DisplayFilters）：用于在已获取的捕捉结果中进行更细致的查询与筛选，并可在获取结果后随时调整。

相较于捕获过滤器，显示过滤器具备更强的功能性，在数据分析过程中被广泛使用，因此有必要