Wireshark标记筛选出特定数据包导出

Posted on Views:

1.标记数据包

在 Wireshark 中可以给单个包打标记（mark）：

  • 选中某个包 → 右键 → Mark/Unmark Packet
  • 或者快捷键 Ctrl+M

标记的包会在包号前显示一个小黑色背景。

2cd8a1aef7b1d5a363fac037f45bea93.png

2.筛选标记的包

用 display filter：

1
frame.marked == 1

👉 只显示你标记过的包。
1b6507ef09f62c20c88f16251c8349ed.png
反过来：

1
frame.marked == 0

👉 显示未标记的包。

3.高级玩法导出标记的数据包

  • 可以在多个位置标记你关注的包，然后用 frame.marked==1 一次性只看这些包。
  1. 菜单： File → Export Specified Packets…
  2. 在弹出窗口里：
    • Packet Range → 选择 Marked packets only
    • File name → 输入保存的文件名
    • File type → 选 pcapng 或 pcap
  3. 保存后，就得到只包含标记包的新抓包文件。

6ace45657f8a3c32e6e3e624d96a5f10.png

293d60b5eb50d84ee4108dc4ab54c286.png

⚡总结：

  • Ctrl+M 标记/取消标记
  • frame.marked == 1 筛选
  • 可以 导出标记包 做单独分析