NAMEwireshark-filter - Wireshark fi

NAME

wireshark-filter - Wireshark filter syntax and reference

SYNOPSIS

wireshark [other options] [ -R "filter expression" ]

tshark [other options] [ -R "filter expression" ]

DESCRIPTION

Wireshark and TShark share a powerful filter engine that helps remove the noise from a packet trace and lets you see only the packets that interest you. If a packet meets the requirements expressed in your filter, then it is displayed in the list of packets. Display filters let you compare the fields within a protocol against a specific value, compare fields against fields, and check the existence of specified fields or protocols.

Filters are also used by other features such as statistics generation and packet list colorization (the latter is only available to Wireshark). This manual page describes their syntax. A comprehensive reference of filter fields can be found within Wireshark and in the display filter reference at https://www.wireshark.org/docs/dfref/.

FILTER SYNTAX

Check whether a field or protocol exists

The simplest filter allows you to check for the existence of a protocol or field. If you want to see all packets which contain the IP protocol, the filter would be "ip" (without the quotation marks). To see all packets that contain a Token-Ring RIF field, use "tr.rif".

Think of a protocol or field in a filter as implicitly having the "exists" operator.

Comparison operators

Fields can also be compared against values. The comparison operators can be expressed either through English-like abbreviations or through C-like symbols:

eq, == Equal
ne, != Not Equal
gt, > Greater Than
lt, < Less Than
ge, >= Greater than or Equal to
le, 10
frame.pkt_len > 012
frame.pkt_len > 0xa
Boolean values are either true or false. In a display filter expression testing the value of a Boolean field, "true" is expressed as 1 or any other non-zero value, and "false" is expressed as zero. For example, a token-ring packet's source route field is Boolean. To find any source-routed packets, a display filter would be:

tr.sr == 1
Non source-routed packets can be found with:

tr.sr == 0
Ethernet addresses and byte arrays are represented by hex digits. The hex digits may be separated by colons, periods, or hyphens:

eth.dst eq ff:ff:ff:ff:ff:ff
aim.data == 0.1.0.d
fddi.src == aa-aa-aa-aa-aa-aa
echo.data == 7a
IPv4 addresses can be represented in either dotted decimal notation or by using the hostname:

ip.dst eq www.mit.edu
ip.src == 192.168

ผลลัพธ์ (ไทย) 1:

ชื่อwireshark-กรอง - Wireshark กรองไวยากรณ์และอ้างอิงย่อwireshark [อื่น ๆ] [-R "นิพจน์ตัวกรอง"]tshark [อื่น ๆ] [-R "นิพจน์ตัวกรอง"]คำอธิบายเครื่องยนต์มีประสิทธิภาพที่ช่วยลบเสียงรบกวนจากการสืบค้นกลับแพคเก็ต และให้คุณสามารถดูแพ็คเก็ตที่คุณสนใจ Wireshark และ TShark กัน ถ้าแพคเก็ตตรงกับความต้องแสดงตัวกรองของคุณ มันจะแสดงในรายการของแพคเก็ต ตัวกรองที่แสดงให้คุณเปรียบเทียบฟิลด์ภายในโพรโทคอกับค่าเฉพาะ เปรียบเทียบเขตข้อมูลเป็นเขตข้อมูล และตรวจสอบการมีอยู่ของเขตข้อมูลที่ระบุหรือโพรโทคอลตัวกรองที่ใช้คุณสมบัติอื่น ๆ เช่นสร้างสถิติและปรับสีรายการแพ็คเก็ต (หลังได้เฉพาะกับ Wireshark) ยัง หน้านี้คู่มืออธิบายไวยากรณ์ การอ้างอิงที่ครอบคลุมของเขตข้อมูลตัวกรองได้ ใน Wireshark และ ในการอ้างอิงตัวกรองแสดงที่ https://www.wireshark.org/docs/dfref/ไวยากรณ์ของตัวกรองตรวจสอบว่า เขตข้อมูลหรือโพรโทคอลอยู่ตัวกรองที่ง่ายที่สุดให้คุณตรวจสอบการมีอยู่ของโพรโทคอลหรือฟิลด์ ถ้าคุณต้องการดูการส่งข้อมูลทั้งหมดซึ่งประกอบด้วยโพรโทคอล IP ตัวกรองจะ "ip" (โดยไม่ใส่เครื่องหมายอัญประกาศ) ดูแพ็คเก็ตทั้งหมดที่ประกอบด้วยเขตข้อมูล RIF Token-Ring ใช้ "tr.rif"คิดว่า ของโพรโทคอลหรือฟิลด์ตัวกรองมีตัวดำเนินการ "มี" นัยดำเนินการเปรียบเทียบเขตข้อมูลยังสามารถจะเปรียบเทียบกับค่า ดำเนินการเปรียบเทียบสามารถแสดง ผ่านตัวย่อเหมือนภาษาอังกฤษ หรือ ผ่านสัญลักษณ์เหมือน C: eq, ==เท่ากับ ne, ! =ไม่เท่า gt, > มากกว่า lt, < น้อยกว่า ge, > =มากกว่า หรือเท่ากับ เลอ < =น้อยกว่า หรือเท่ากับตัวดำเนินการค้นหาและจับคู่ตัวดำเนินการเพิ่มเติมมีแสดงเฉพาะในไวยากรณ์ภาษาอังกฤษ ไม่ เหมือน C: ไม่ประกอบด้วยโพรโทคอล ฟิลด์ หรือชิ้นที่ประกอบด้วยค่า ไม่ตรงกับโพรโทคอล หรือสายอักขระข้อความตรงกับ Perl กำหนด นิพจน์ทั่วไปตัวดำเนินการ "ประกอบด้วย" ตัวกรองการค้นหาลำดับของอักขระ แสดงเป็นสตริงที่ (ยกมา หรือไม่), หรือไบต์ แสดงเป็นอาร์เรย์เป็นไบต์ได้ เช่น การค้นหา URL HTTP กำหนดในการจับภาพ ตัวกรองต่อไปนี้สามารถใช้ได้: http ประกอบด้วย "https://www.wireshark.org"ตัวดำเนินการ "มี" ไม่สามารถใช้กับอะตอม เช่นฟิลด์หมายเลขหรือที่อยู่ IPตัวกรองจะใช้ระบุ Perl ได้นิพจน์ทั่วไป (PCRE) ตัวดำเนินการ "แข่งขัน" ได้ ตัวดำเนินการ "แข่งขัน" ถูกนำมาใช้เฉพาะ สำหรับโพรโทคอล และโพรโทคอลฟิลด์มีการแสดงสายอักขระของข้อความ ตัวอย่างเช่น การค้นหาสำหรับการกำหนด WAP WSP แทนผู้ใช้ ที่คุณสามารถเขียน: wsp.user_agent ตรงกับ "(?i) cldc"ตัวอย่างนี้แสดงคุณลักษณะ PCRE สนใจ: เลือกรูปแบบการแข่งขันจะต้องระบุด้วย (หรือไม่เลือก) สร้าง เช่น, (? ฉัน) ทำตรงรูปใหญ่ PCRE ข้อมูลเพิ่มเติมได้ในหน้า pcrepattern(3) คน (นิพจน์ Perl มีอธิบายไว้ใน http://perldoc.perl.org/perlre.html)ฟังก์ชันตัวกรองภาษามีฟังก์ชันต่อไปนี้: upper(string-field) - แปลงเขตข้อมูลสายอักขระตัวพิมพ์ใหญ่ lower(string-field) - แปลงเขตข้อมูลสายอักขระเป็นตัวพิมพ์เล็กบนและ lower() มีประโยชน์สำหรับการเปรียบเทียบสายอักขระไม่ ตัวอย่างเช่น: upper(ncp.nds_stream_name) ประกอบด้วย "มาโคร" lower(mount.dump.hostname) == "เทวดา"ชนิดฟิลด์โพรโทคอลแต่ละ protocol ฟิลด์จะถูกพิมพ์ ประเภทคือ: ตัวระบุวัตถุของ ASN.1 บูลีน สายอักขระ คอมไพล์นิพจน์ Perl เข้ากันได้แบบทั่วไป (GRegex) วัตถุ วันและเวลา อีเทอร์เน็ตหรือที่อยู่ MAC อื่น ๆ ที่อยู่ EUI64 ลอยจุด (ความแม่นยำสอง) ลอยจุด (เดียวความแม่นยำ) หมายเลขเฟรม ตัวระบุที่ไม่ซ้ำกัน ที่อยู่ IPv4 ที่อยู่ IPv6 หมายเลขเครือข่าย IPX ป้ายชื่อ โพรโทคอล ลำดับไบต์ จำนวนเต็มที่เซ็นชื่อ 1, 2, 3, 4 หรือ 8 ไบต์ ออฟเซตของเวลา จำนวนเต็มไม่มี 1, 2, 3, 4 หรือ 8 ไบต์จำนวนเต็มอาจแสดงในสัญกรณ์ฐานสิบ เลขฐานแปด หรือเลขฐานสิบหก ตัวกรองแสดงสามต่อไปนี้จะเท่ากับ: frame.pkt_len > 10 frame.pkt_len > 012 frame.pkt_len > 0xaค่าบูลีนจะเป็นจริง หรือเท็จ ในการแสดงนิพจน์ตัวกรองการทดสอบค่าของฟิลด์บูลี "จริง" จะแสดงเป็น 1 หรืออื่น ๆ ไม่ใช่ศูนย์ค่า และ "เท็จ" จะแสดงเป็นศูนย์ เช่น ฟิลด์เส้นทางแหล่งที่มาของแพคเก็ต token-ring เป็นบูลีน เพื่อหาแพ็คเก็ตใด ๆ แหล่งกำหนดเส้นทาง แสดงตัวกรองจะเป็น: tr.sr == 1ไม่ใช่แหล่งส่งแพคเก็ตสามารถพบกับ: tr.sr == 0อีเทอร์เน็ตแอดเดรสและอาร์เรย์ไบต์ถูกแสดง โดยตัวเลขฐานสิบหก ตัวเลขฐานสิบหกอาจจะแยกออกจากตำแหน่ง ระยะเวลา หรือยัติภังค์: eth.dst eq ff:ff:ff:ff:ff:ff aim.data == 0.1.0.d fddi.src == aa-aa-aa-aa-aa-aa echo.data == 7aสามารถแสดงที่อยู่ IPv4 ในทั้งจุดทศนิยมแสดง หรือ โดยใช้ชื่อโฮสต์: ip.dst eq www.mit.edu ip.src == 192.168

ผลลัพธ์ (ไทย) 2:

NAME Wireshark กรอง - ไวยากรณ์กรอง Wireshark และการอ้างอิงสรุปWireshark [ตัวเลือกอื่น ๆ ] [r "กรองนิพจน์"] tshark [ตัวเลือกอื่น ๆ ] [r "แสดงออกกรอง"] รายละเอียดWireshark และ TShark แบ่งปันเครื่องยนต์ตัวกรองที่มีประสิทธิภาพที่จะช่วยลบ เสียงจากร่องรอยแพ็คเก็ตและช่วยให้คุณดูแพ็คเก็ตที่คุณสนใจ ถ้าแพ็คเก็ตตรงตามความต้องการที่แสดงออกในตัวกรองของคุณแล้วมันจะแสดงในรายการของแพ็กเก็ต ฟิลเตอร์จอแสดงผลให้คุณเปรียบเทียบสาขาภายในโปรโตคอลกับค่าที่ระบุให้เปรียบเทียบสาขากับเขตข้อมูลและตรวจสอบการดำรงอยู่ของเขตข้อมูลที่ระบุหรือโปรโตคอล. กรองยังถูกใช้โดยคุณสมบัติอื่น ๆ เช่นสถิติการสร้างและการ colorization รายการแพ็คเก็ต (หลังเป็นเพียง สามารถใช้ได้กับ Wireshark) หน้านี้ใช้อธิบายถึงไวยากรณ์ของพวกเขา การอ้างอิงที่ครอบคลุมของฟิลด์ตัวกรองสามารถพบได้ใน Wireshark และในการอ้างอิงกรองแสดงที่ https://www.wireshark.org/docs/dfref/. FILTER SYNTAX ตรวจสอบว่ามีข้อมูลหรือโปรโตคอลที่มีอยู่ตัวกรองที่ง่ายช่วยให้คุณสามารถตรวจสอบ การดำรงอยู่ของโปรโตคอลหรือสนาม หากคุณต้องการที่จะเห็นทุกแพ็กเก็ตที่มีโปรโตคอล IP กรองจะเป็น "IP" (โดยไม่ใส่เครื่องหมายอัญประกาศ) หากต้องการดูแพ็คเก็ตทั้งหมดที่มีสนาม Token-Ring RIF ใช้ "tr.rif". คิดว่าโปรโตคอลหรือสาขาในตัวกรองเป็นปริยายมี "มีอยู่" ผู้ประกอบการ. ดำเนินการเปรียบเทียบทุ่งนอกจากนี้ยังสามารถนำมาเปรียบเทียบกับค่า ผู้ประกอบการเปรียบเทียบสามารถแสดงทั้งผ่านตัวย่อภาษาอังกฤษอย่างหรือผ่านสัญลักษณ์ C-ที่ชอบ: EQ, == เท่าเทียมกัน! NE, = ไม่เท่ากับGT> Greater Than LT, <น้อยกว่าGE,> = มากกว่าหรือเท่ากับle <= น้อยกว่าหรือเท่ากับการค้นหาและผู้ประกอบการแข่งขันผู้ประกอบการเพิ่มเติมมีอยู่แสดงเฉพาะในภาษาอังกฤษไม่ C-เช่นไวยากรณ์: มีไม่โปรโตคอลข้อมูลหรือชิ้นมีค่าที่ตรงกันไม่โปรโตคอลหรือข้อความสตริงตรงกับที่กำหนด Perl นิพจน์ปกติ"มี" ผู้ประกอบการช่วยตัวกรองเพื่อค้นหาลำดับของตัวอักษรที่แสดงเป็นสตริง (อ้างหรือ unquoted) หรือไบต์แสดงเป็นอาร์เรย์ไบต์ ตัวอย่างเช่นในการค้นหา URL แบบ HTTP ได้รับในการจับภาพการกรองต่อไปนี้สามารถนำมาใช้: http ประกอบด้วย "https://www.wireshark.org" "มี" ผู้ประกอบการไม่สามารถใช้ในช่องอะตอมเช่นตัวเลขหรือ ที่อยู่ IP. ว่า "การแข่งขัน" ผู้ประกอบการช่วยให้กรองเพื่อนำไปใช้กับที่ระบุ Perl ได้แสดงออกปกติ (PCRE) ว่า "การแข่งขัน" ผู้ประกอบการจะดำเนินการเฉพาะสำหรับโปรโตคอลและโปรโตคอลสำหรับเขตข้อมูลที่มีการแสดงสตริงข้อความ ตัวอย่างเช่นในการค้นหาที่ได้รับ WAP WSP User-Agent คุณสามารถเขียน: "(ฉัน) CLDC" การแข่งขัน wsp.user_agent ตัวอย่างนี้แสดงให้เห็นถึงคุณลักษณะ PCRE ที่น่าสนใจ: ตัวเลือกรูปแบบการแข่งขันจะต้องมีการระบุด้วย (ตัวเลือก) สร้าง. ยกตัวอย่างเช่น (i) การดำเนินการแข่งขันรูปแบบกรณีตาย . ข้อมูลเพิ่มเติมเกี่ยวกับ PCRE สามารถพบได้ใน pcrepattern (3) หน้าคน (นิพจน์ปกติ Perl มีการอธิบายใน http://perldoc.perl.org/perlre.html) ฟังก์ชั่นภาษากรองมีหน้าที่ดังต่อไปนี้: บน (String- Field) - แปลงข้อมูลสตริงเป็นตัวพิมพ์ใหญ่ที่ต่ำกว่า (String-Field) - แปลงข้อมูลสตริงเป็นตัวพิมพ์เล็กบน () และต่ำ () จะมีประโยชน์สำหรับการดำเนินการเปรียบเทียบสตริงกรณีตาย ตัวอย่างเช่น: บน (ncp.nds_stream_name) ประกอบด้วย "MACRO" ต่ำ (mount.dump.hostname) == "แองเจิล" ชนิดเขตข้อมูลพิธีสารเขต protocol แต่ละครั้งจะถูกพิมพ์ ชนิดที่มี: ASN.1 ระบุวัตถุบูลีนสตริงตัวอักษรรวบรวม Perl เข้ากันได้นิพจน์ปกติ (GRegex) วัตถุวันที่และเวลาอีเธอร์เน็ตหรืออื่น ๆ ที่อยู่ MAC อยู่ EUI64 ลอยจุด (ความแม่นยำสอง) จุดลอย (ความแม่นยำเดียว) จำนวนเฟรมทั่วโลกที่ไม่ซ้ำกัน ตัวบ่งชี้IPv4 ที่อยู่IPv6 ที่อยู่เครือข่าย IPX จำนวนป้ายพิธีสารลำดับของไบต์ลงนามจำนวนเต็ม, 1, 2, 3, 4 หรือ 8 ไบต์เวลาชดเชยจำนวนเต็มไม่ได้ลงนาม, 1, 2, 3, 4 หรือ 8 ไบต์จำนวนเต็มอาจจะแสดงออกในทศนิยม ฐานแปดหรือเลขฐานสิบหก ต่อไปนี้สามตัวกรองการแสดงผลเทียบเท่า: frame.pkt_len> 10 frame.pkt_len> 012 frame.pkt_len> 0xA ค่าบูลีนมีทั้งจริงหรือเท็จ ในการแสดงออกของตัวกรองการแสดงผลการทดสอบค่าของข้อมูลแบบบูล "ความจริง" จะแสดงเป็น 1 หรืออื่น ๆ ที่ไม่ใช่ศูนย์ค่าใด ๆ และ "เท็จ" จะแสดงเป็นศูนย์ ยกตัวอย่างเช่นข้อมูลแหล่งที่มาของเส้นทางแพ็คเก็ต token-แหวนเป็นบูลีน แพ็คเก็ตที่จะหาแหล่งที่มาของเส้นทางใด ๆ ตัวกรองการแสดงผลจะเป็น: tr.sr == 1 แพ็คเก็ตที่ไม่ใช่แหล่งที่มาของเส้นทางที่สามารถพบได้กับ: == tr.sr 0 ที่อยู่ Ethernet และอาร์เรย์ไบต์จะถูกแทนด้วยตัวเลขฐานสิบหก ตัวเลขฐานสิบหกอาจจะแยกจากกันโดยทวิภาคงวดหรือยัติภังค์: eth.dst EQ FF: FF: FF: FF: FF: FF aim.data == 0.1.0.d fddi.src == AA-AA-AA- AA-AA-AA echo.data == 7a IPv4 ที่สามารถแสดงในสัญกรณ์ทศนิยมทั้งประหรือโดยใช้ชื่อโฮสต์: ip.dst EQ www.mit.edu ip.src == 192.168

ผลลัพธ์ (ไทย) 3:

ชื่อกรอง - กรอง Wireshark ไวยากรณ์ Wireshark และการอ้างอิงเรื่องย่อWireshark [ ตัวเลือก ] อื่นๆ [ - r " การแสดงออก " กรอง ]tshark [ ตัวเลือก ] อื่นๆ [ - r " การแสดงออก " กรอง ]รายละเอียดและ Wireshark tshark แบ่งปันประสิทธิภาพกรองเครื่องยนต์ที่ช่วยขจัดเสียงรบกวนจากแพ็คเก็ตติดตามและช่วยให้คุณดูเฉพาะแพ็กเก็ตที่คุณสนใจ ถ้าแพ็คเก็ตตรงตามความต้องการแสดงในตัวกรองของคุณก็จะปรากฏในรายการของแพ็กเก็ต แสดงผลตัวกรองให้คุณเปรียบเทียบเขตข้อมูลภายในโพรโทคอลกับค่าเฉพาะ เปรียบเทียบกับเขตข้อมูลและตรวจสอบการมีอยู่ของระบุเขตข้อมูลหรือโปรโตคอลตัวกรองที่ถูกใช้ โดยคุณสมบัติอื่น ๆเช่นสถิติรุ่นและสีรายการแพ็คเก็ต ( หลังเป็นใช้ได้เฉพาะกับ Wireshark ) หน้านี้คู่มืออธิบายไวยากรณ์ของพวกเขา การอ้างอิงที่ครอบคลุมของเขตข้อมูลตัวกรองสามารถพบได้ภายใน Wireshark และในจอแสดงผลกรองอ้างอิงที่ https : / / www.wireshark . org / เอกสาร / dfref /กรอง ไวยากรณ์ตรวจสอบว่าเขตข้อมูลหรือโพรโทคอลที่มีอยู่ตัวกรองที่ง่ายที่สุดที่ช่วยให้คุณสามารถตรวจสอบการมีอยู่ของโปรโตคอลหรือสนาม ถ้าคุณต้องการที่จะเห็นทั้งหมดซึ่งประกอบด้วยแพ็คเก็ต IP โปรโตคอล , ตัวกรองจะเป็น " ทรัพย์สินทางปัญญา " ( โดยไม่ใส่เครื่องหมายอัญประกาศ ) เพื่อดูทั้งหมดของแพ็กเก็ตที่ประกอบด้วยโทเค็นริงรีฟภาคสนาม ใช้ " tr.rif "คิดว่าของโปรโตคอลหรือสนามในตัวกรองเป็นโดยปริยายมี " มีอยู่ " ผู้ประกอบการผู้ประกอบการเปรียบเทียบเขตข้อมูลยังสามารถเปรียบเทียบกับค่า เปรียบเทียบผู้ประกอบการสามารถแสดงได้ทั้งภาษาอังกฤษแบบย่อหรือผ่านสัญลักษณ์ c-like :EQ = = เท่ากับนี่ ! = ไม่เท่ากับ> > มากกว่ามัน , < น้อยกว่าGE , > = มากกว่าหรือเท่ากับเลอ , < = น้อยกว่าหรือเท่ากับบริการค้นหาและจับคู่ผู้ประกอบการเพิ่มเติมมีอยู่แสดงเฉพาะในภาษาอังกฤษไม่ c-like ไวยากรณ์ :มีไม่โปรโตคอล , สนามหรือชิ้นประกอบด้วยคุณค่าตรงกับไม่โปรโตคอลหรือสตริงข้อความตรงกับให้เพิร์ลนิพจน์ปกติ" มี " ผู้ประกอบการช่วยให้ตัวกรองการค้นหาลำดับของตัวอักษรที่แสดงเป็นสตริง ( ยกมาหรือค่าธรรมเนียม unquoted ) หรือไบต์ แสดงเป็นอาร์เรย์ไบต์ . ตัวอย่างเช่น การค้นหาให้ HTTP URL ในการจับตัวกรองต่อไปนี้สามารถใช้ :โดยมี " https://www.wireshark.org "" มี " ผู้ประกอบการไม่สามารถใช้กับอะตอมสาขาเช่นตัวเลขหรือที่อยู่ IP" ตรงกับ " ผู้ประกอบการช่วยให้กรองที่จะใช้เพื่อระบุ Perl เข้ากันได้นิพจน์ปกติ ( pcre ) " ตรงกับ " ผู้ประกอบการเป็นเพียงใช้สำหรับโปรโตคอลโปรโตคอลและข้อมูลที่เป็นข้อความแทน . ตัวอย่างเช่น การค้นหาให้ตัวแทนผู้ใช้ WSP WAP , คุณสามารถเขียน :wsp.user_agent ตรงกัน " ( ? ฉัน ) cldc "ตัวอย่างนี้แสดงให้เห็นคุณลักษณะที่น่าสนใจ : pcre ตัวเลือกรูปแบบการแข่งขันจะถูกระบุด้วย ( ? ตัวเลือก ) สร้าง ตัวอย่างเช่น ( ? 1 ) ดำเนินการกรณีตายลายตรง ข้อมูลเพิ่มเติมเกี่ยวกับ pcre สามารถพบได้ใน pcrepattern ( 3 ) ชายหน้า ( PERL นิพจน์ปกติจะอธิบายใน http : / / perldoc . Perl . org / perlre . html )ฟังก์ชันตัวกรองภาษามีฟังก์ชันต่อไปนี้ :มัธยมศึกษาตอนปลาย ( สายสนาม ) สนาม - แปลงสตริงเป็นตัวพิมพ์ใหญ่ล่าง ( สตริงฟิลด์ ) - แปลงสตริงฟิลด์เป็นตัวพิมพ์เล็กและ upper() lower() ที่มีประโยชน์สำหรับการดำเนินการกรณีตายข้อความเปรียบเทียบ ตัวอย่างเช่น :บน ( นซีพี . nds_stream_name ) ประกอบด้วย " แมโคร "ล่าง ( ขยะ ภูเขา ชื่อโฮสต์ ) = = " นางฟ้า "ประเภทสนามพิธีสารแต่ละเขตข้อมูลรับพิมพ์ ประเภท :ขึ้นที่ 1 ระบุวัตถุบูลีนสตริงอักขระรวบรวม Perl เข้ากันได้นิพจน์ปกติ ( gregex ) วัตถุวันที่และเวลาที่อยู่ MAC Ethernet หรืออื่น ๆที่อยู่ eui64จุดลอย ( สองเท่า )จุดลอย ( ความแม่นยำเดี่ยว )กรอบหมายเลขการฟูมฟายที่อยู่ IPv4ที่อยู่ IPv6หมายเลขเครือข่าย IPXป้ายพิธีสารลำดับไบต์ลงนามจำนวนเต็ม 1 , 2 , 3 , 4 หรือ 8 ไบต์ชดเชยเวลาต่อมหมวกไตทำงานน้อยกว่าปกติ 1 , 2 , 3 , 4 หรือ 8 ไบต์จำนวนเต็มอาจจะแสดงในทศนิยมฐานแปด , หรือสัญกรณ์ฐานสิบหก . ต่อไปนี้สามแสดงกรองเทียบเท่า :frame.pkt_len > 10frame.pkt_len > 012frame.pkt_len > 0xaค่าแบบบูลเป็นจริงหรือเท็จ ในการแสดงผลการทดสอบค่าของนิพจน์ตัวกรองบูลีนฟิลด์ " จริง " จะแสดงเป็น 1 หรือค่าใด ๆอื่น ๆที่ไม่ใช่ศูนย์ และ " เท็จ " จะแสดงเป็น 0 ตัวอย่างเช่น เครื่องแพ็คเก็ตที่มาของแหวนเส้นทางสนามเป็นบูลีน . หาแหล่งส่งแพ็คเก็ต , การแสดงผลตัวกรองจะเป็น :tr.sr = = 1ไม่มีแหล่งส่งแพ็กเก็ตที่สามารถพบได้กับ :tr.sr = = 0ที่อยู่ Ethernet และอาร์เรย์ไบต์แทนด้วยตัวเลขหก คาถาหลักอาจจะคั่นด้วยเครื่องหมายยัติภังค์ : ระยะเวลา หรือeth.dst EQ FF : FF : FF : FF : FF : FFaim.data = = 0.1.0 Dfddi.src = = aa aa aa aa aa aaecho.data = = 7AIPv4 ที่อยู่ที่สามารถแสดงในจุดทศนิยมสัญกรณ์ หรือ โดยการใช้ชื่อโฮสต์ :ip.dst EQ www.mit.eduip.src = = 192.168