1、数据偏移：占4位，表示TCP报文段的首部长度。注意，“数据偏移”的单位是32位字（即以4字节长的字为计算单位）。故TCP首部的最大长度为60字节。
2、检验和：占2字节。
3、当SYN=1而ACK=0时，表明这是一个连接请求报文段。
4、TCP传输控制协议(TransmissionControlProtocol)是一种面向连接的、可靠的、基于字节流的传输层通信协议,由IETFRFC793定义.
5、例如：PC1向PC2发送四个数据，但是PC2一次只能接收3个数据，PC2就会只接收3个数据段，第四个不接受，并且向PC1回信说我只能接收三个，PC１再把第四个数据传输一次或者把第四段数据跟剩下的一起传
6、TCP的协议号是6，UDP的协议号是17。
7、SourcePort—16位。源端口是可选字段。当使用时，它表示发送程序的端口，同时它还被认为是没有其它信息的情况下需要被寻址的答复端口。如果不使用，设置值为0。
8、UDP不对收到的数据进行排序，在UDP报文的首部中并没有关于数据顺序的信息（如TCP所采用的序号），而且报文不一定按顺序到达的，所以接收端无从排起。
9、FIN：当TCP连开连接的时候，将FIN数值设置成1，就是断开连接的时候用
10、udp.proc.dstpid//过滤目标进程PID
11、udp.proc.srccmd//过滤源进程名
12、SYN：同步序列号，TCP需要建立连接的时候将SYN的数值设置成1
13、udp.proc.srcuid//过滤源进程的用户ID
14、UDP（用户数据报协议）为应用程序提供了一种无连接就可以发送封装的IP数据报的方法。由IETFRFC768定义描述。
15、UDP传送数据较TCP快速，系统开销也少。
16、进程相关的过滤条件
17、每个协议都有对应的协议号，TCP的协议号是6，UDP的协议号是17。
18、由于缺乏拥塞控制（congestioncontrol），需要基于网络的机制来减小因失控和高速UDP流量负荷而导致的拥塞崩溃效应。换句话说，因为UDP发送者不能够检测拥塞，所以像使用包队列和丢弃技术的路由器这样的网络基本设备往往就成为降低UDP过大通信量的有效工具。数据报拥塞控制协议(DCCP)设计成通过在诸如流媒体类型的高速率UDP流中增加主机拥塞控制来减小这个潜在的问题。
19、udp.proc.dstuname//过滤目标进程的用户名
20、第一次PC1跟PC2发送连接请求，SYN发送建立连接的请求，此时数值是1，还有一个Seq，序列号，数字是X，数值恶意任意设置。
21、udp.proc.dstcmd//过滤目标进程名
22、udp.dstport==80//过滤目标机器10092端口的udp数据包
23、名词后面跟随的数字是占用的二进制数位，每层占用32二进制
24、TCP报文段封装在IP数据报中
25、UDP协议有如下的特点：
26、UDP校验和过滤条件
27、Checksum—16位。IP协议头、UDP协议头和数据位，最后用0填补的信息假协议头总和。如果必要的话，可以由两个八位复合而成。
28、首部固定部分各字段的意义如下：源端口和目的端口：各占2个字节，分别写入源端口号和目的端口号。
29、udp.checksum_bad==0
30、UDP对接收到的数据报不发送确认信号，发送端不知道数据是否被正确接收，也不会重发数据。
31、FTP：定义了文件传输协议，使用21号端口。
32、由于大多数网络应用程序都在同一台机器上运行，计算机上必须能够确保目的地机器上的软件程序能从源地址机器处获得数据包，以及源计算机能收到正确的回复。这是通过使用UDP的“端口号”完成的。例如，如果一个工作站希望在工作站128.1.123.1上使用域名服务系统，它就会给数据包一个目的地址128.1.123.1，并在UDP头插入目标端口号53。源端口号标识了请求域名服务的本地机的应用程序，同时需要将所有由目的站生成的响应包都指定到源主机的这个端口上。UDP端口的详细介绍可以参照相关文章。
33、终止FIN：用来释放连接。
34、TCP将若干个字节构成一个分组，叫报文段
35、udp.proc.srcuname//过滤源进程的用户名
36、请求信息到达PC2之后，如果PC2同意建立，就会跟PC1回数据说可以，就会产生确认值（Ack），确认无同意请求，这个值是PC1的序列号+1，
37、udp.checksum==0x250f
38、五元组是一个通信术语，英文名称为five-tuple,或5-tuple，通常指由源Ip(sourceIP),源端口(sourceport),目标Ip(destinationIP),目标端口(destinationport),4层通信协议(thelayer4protocol)等5个字段来表示一个会话，是会话哦。
39、TFTP：简单文件传输协议，该协议在端口69号使用UDP服务。
40、UDP传送数据前并不与对方建立连接，即UDP是无连接的，在传输数据前，发送方和接收方相互交换信息使双方同步。
41、udp.port==10092//过滤本机或目标机器10092端口的数据包
42、若确认序号=N,则表明：到序号N-1为止的所有数据都已正确收到。
43、TCP是面向连接的、可靠的进程到进程通信的协议
44、为了方便对一个或多个网络接口的流量进行分析（如IDS产品、网络分析仪等），可以通过配置交换机来把一个或多个端口（VLAN）的数据转发到某一个端口来实现对网络的监听，是网络通信协议的一种方式
45、传输层总共是有TCP和UDP两大协议
46、通常使用5元组来标识一个数据包属于哪个会话，在数据包查重和流量对比时会使用较多，在网络分析领域也经常会涉及到。
47、一.UDP对应的协议
48、ip.addr==192.168.0.1//过滤ip地址
49、用户数据报协议（UDP）是OSI参考模型中一种无连接的传输层协议，提供面向事务的简单不可靠信息传送服务。是一个简单的面向数据报的传输层协议，IETFRFC768是UDP的正式规范。UDP协议基本上是IP协议与上层协议的接口。UDP协议适用端口分别运行在同一台设备上的多个应用程序。
50、序号：占4个字节。序号使用mod运算。TCP是面向字节流的，在一个TCP连接中传送的字节流中的每一个字节都按顺序编号。故该字段也叫做“报文段序号”。
51、当FIN=1时，表明此报文段的发送方的数据已发送完毕，并要求释放运输连接。
52、对方若同意建立连接，则应在响应的报文段中使SYN=1和ACK=1。故SYN置为1，就表示这是一个连接请求和连接接收报文。
53、确认ACK：当ACK=1时，确认字段才有效。当ACK=0时，确认号无效。TCP规定，在连接建立后所有传送的报文段都必须把ACK置1。推送PSH：接收方TCP收到PSH=1的报文段，就尽快地交付给接收应用进程，而不再等到整个缓存都填满了后再向上交付。
54、udp.srcport==10092//过滤经过本机10092端口的udp数据包
55、UDP(UserDatagramProtocol）用户数据报协议
56、与TCP不同，UDP并不提供对IP协议的可靠机制、流控制以及错误恢复功能等。由于UDP比较简单，UDP头包含很少的字节，比TCP负载消耗少。
57、检验和字段检验的范围包括首部和数据这两部分。和UDP数据报一样，在计算检验和时，也要在TCP报文段的前面加上12字节的伪首部。
58、udp.proc.dstuid//过滤目标进程的用户ID
59、这边添加了一个报文段的表格
60、复位RST：当RST=1时，表明TCP连接中出现严重差错，必须释放连接，然后再重新建立运输连接。
61、data.data==00:08:30:03:00:00:00:00//过滤指定内容的数据包
62、校验和：发送方发送数据的时候会附加一个校验值，接收方接收信息的时候会校验，是不是跟发送方的校验值一摸一样，一样就就接收。
63、协议结构
64、以下过滤条件不支持Windows，因为需要特殊的驱动。
65、窗口大小：用于说明本地可接受数据段的数目。窗口大小是可变的。
66、紧急指针：占2字节。紧急指针仅在URG=1时才有意义，它指出本报文段中的紧急数据的字节数。
67、该方式适用于过滤一键过滤策略列表中未涵盖的端口，不支持添加与一键过滤策略列表中相同的端口。
68、目标端口号：是接收方的端口号，一般是针对服务器
69、DestinationPort—16位。目标端口在特殊因特网目标地址的情况下具有意义。
70、注：上面六个状态位，TCP中只用到三个：SYN、ACK、FIN，这三个，分别代表的意思是：
71、传输层协议简介
72、策略列表罗列了常见的UDP反射攻击类型，以及被用于发动对应反射攻击的反射源端口。建议您全选策略列表中的端口，对常见的UDP反射攻击源端口都开启过滤策略。
73、确认号：用于确认发送端的信息
74、网络镜像口是指网络流量连接监听设备的端口，此外被监听的端口叫源端口。
75、二、三次握手
76、data.len==8//过滤data部分长度为8的数据包
77、Length—16位。该用户数据报的八位长度，包括协议头和数据。长度最小值为8。
78、自定义过滤策略：在自定义过滤策略区域在的反射源端口列表框，输入要过滤的其他UDP反射源端口（范围：0~65535）。最多支持设置20个端口，多个端口间使用英文逗号（,）分隔。
79、二.TCP对应的协议
80、在一台机器上，一个进程对应一个端口。
81、UDP是用户数据报协议
82、一键过滤策略（推荐）：从一键过滤策略区域的策略列表，选中要应用的策略。
83、源端口号：是发送方的端口号，一般是针对客户机
84、同步SYN：在连接建立时用来同步序号。
85、端口的作用就是用来唯一标识这个进程。源端口标识发起通信的那个进程，目的端口标识接受通信的那个进程。有了端口号，接受到报文后才能够知道将报文发送到哪个进程。
86、端口镜像（英文名：portMirroring）把交换机一个或多个端口（VLAN）的数据镜像到一个或多个端口的方法。端口镜像又称端口映射，是网络通信协议的一种方式。
87、伪首部的格式与UDP用户数据报的伪首部一样，但要将伪首部第四个字段中的17改为6（协议号），把第5字段中的UDP长度改为TCP长度。
88、窗口：占2个字节。窗口值作为接收方让发送方设置其发送窗口的依据。
89、udp.checksum_good==0//Boolean类型
90、TCP报文段
91、SNMP：简单网络管理协议，使用161号端口，是用来管理网络设备。由于网络设备过多，无连接的服务就体现出优势。
92、TCP协议
93、保留：占6位，保留为今后使用，目前置为0；紧急URG：当URG=1，表明紧急指针字段有效。这时发送方TCP就把紧急数据插入到本报文段数据的最前面，而在紧急数据后面的数据仍是普通数据。
94、udp.proc.srcpid//过滤源进程PID
95、首部长度：包头的长度
96、UDP协议分析常用过滤条件
97、Data—包含上层数据信息。
98、TCP提供全双工服务，即数据可在同一时间双向传输
99、保留：保留位
100、TCP是传输控制协议
101、udp.length==20//过滤指定长度的UDP数据包
102、状态位：URG、ACK、PSH、RST、SYN、FIN
103、DNS：用于域名解析服务，将域名地址转换为IP地址，使用53号端口。
104、TCP是TCP/IP协议族中传输层协议的一员
105、UDP适用于不需要TCP可靠机制的情形，比如，当高层协议或应用程序提供错误和流控制功能的时候。UDP是传输层协议，服务于很多知名应用层协议，包括网络文件系统（NFS）、简单网络管理协议（SNMP）、域名系统（DNS）以及简单文件传输系统（TFTP）、动态主机配置协议(DHCP)、路由信息协议(RIP)和某些影音串流服务等等。
106、ACK：确认序列号，当ACK数值为1的时候，用于确认发送方的数据
107、确认序号：占4个字节，是期望收到对方下一个报文段的第一个数据字节的序号。
108、五元组：源IP地址、目的IP地址、协议号、源端口、目的端口
109、序号：发送端为每个字节进行编号，以便于接收端正确重组
110、紧急指针：TCP中会把小的零散数据放在一起发送，紧急指针就是为小数据添加标记，紧急发送，不再进行跟别的数据捆绑发送，而是接收到之后立即发送，比较紧急。
111、从以上特点可知，UDP提供的是无连接的、不可靠的数据传送方式，是一种尽力而为的数据交付服务。