wireshark 报文分析---根据时间（Arrival Time）过滤报文

wireshark 报文分析—根据时间（Arrival Time）过滤报文 前言

在进行报文分析时icmp时间戳获取工具，会需要使用时间过滤报文，比如30min 到 35min之间的报文，或50s之后的报文，这时就需要使用根据时间进行过滤报文；

过滤方法

以mac 版wireshark为例，选取报文Frame层中的Arrival Time（到达时间），使用该字段作为过滤器条件进行过滤，由于在wireshark 软件中显示的时间字段是比较多的icmp时间戳获取工具，然而其他字段是不便过滤的，所以需要注意选择对应字段；

选择该字段后，右键选择：“Apply as Filter” 或 “Prepare as Filter”，即应用过滤器或准备过滤器，会生成对应的过滤条件：

frame.time == "May 27, 2019 15:23:57.932344000"

这里可以进行根据需求修改对应的条件，

例如：

1、过滤15:23:57 s 这一秒之后的报文，过滤条件可写为：

frame.time >= "May 27, 2019 15:23:57.0"

2、过滤15:23:57 s ---- 15:23:58 s 这一秒内的报文，过滤条件可写为：

frame.time >= "May 27, 2019 15:23:57.0" && frame.time < "May 27, 2019 15:23:58.0"