捕获并找到TCP的三次握手与四次握手流程数据包的wireshark筛选语句

在Wireshark中，你可以使用过滤器功能来定位TCP三次握手和四次挥手的数据包。以下是对应的筛选语句：

1. **三次握手**（连接建立）：
- TCP SYN (SYN=1) 发送方：`tcp.flags.syn==1`
- TCP SYN+ACK (SYN=1, ACK=1) 接收方回复：`tcp.flags.syn==1 && tcp.flags.ack==1`
- TCP ACK (SYN=0, ACK=1) 发送方确认：`tcp.flags.ack==1 && !tcp.flags.syn`

将这三个条件组合在一起，可以在事件视图或应用协议视图下找到三次握手过程：

(tcp.flags.syn==1 and tcp.flags.ack==0) or \
(tcp.flags.syn==0 and tcp.flags.ack==1 and not tcp.flags.syn)

2. **四次挥手**（连接终止）：
- 第一次挥手（FIN）：`tcp.flags.fin==1`
- 第二次挥手（ACK）：`tcp.flags.fin==1 and tcp.flags.ack==1`
- 第三次挥手（ACK）：`tcp.flags.ack==1`
- 最后一次挥手（FIN）：`tcp.flags.fin==1 && ip.src==<你的源IP>`

在过滤器中加入上述四个条件，不过Wireshark通常不需要手动组合，因为四次挥手是连续发生的，可以通过查找含有FIN的连接来追踪整个过程。

请注意替换 `<你的源IP>` 为你实际想要监控的IP地址。在搜索框输入筛选条件后，点击“应用”按钮即可查看匹配的结果。