Wireshark USB流量过滤优化：基于端口范围筛选HID设备

针对端口动态分配、排除法操作繁琐的问题，已知设备端口范围是1.50.*到1.99.*，可以用以下两种高效过滤方式：

1. 正则表达式匹配端口范围 #

直接通过正则匹配符合范围的USB地址，用usb.addr字段同时覆盖源地址和目的地址，无需分别写usb.src和usb.dst：

usb.addr matches "^1\.(5[0-9]|[6-9][0-9])\."

逻辑说明：

• ^1\.：匹配以1.开头的USB地址
• (5[0-9]|[6-9][0-9])：精准匹配50-59或60-99的中间端口段
• \.：确保中间段后带点，避免误匹配类似1.150.0的非目标地址

2. 字符串拆分+数值范围判断 #

如果需要更直观的数值逻辑验证，可用Wireshark字符串处理函数：

usb.addr starts with "1." && string_to_int(string_split(usb.addr, ".")[1]) >= 50 && string_to_int(string_split(usb.addr, ".")[1]) <= 99

逻辑说明：

• usb.addr starts with "1."：限定根端口为1
• string_split(usb.addr, ".")[1]：拆分地址字符串，提取中间的端口段（如1.50.0拆分后取索引1的50）
• string_to_int(...) >=50 && <=99：将端口段转为整数，判断是否在目标范围内

额外建议：优先用设备VID/PID过滤 #

如果你的HID设备有固定的厂商ID（VID）和产品ID（PID），直接用VID/PID过滤更可靠（完全不受端口分配变化影响）：

usb.idVendor == 0xXXXX && usb.idProduct == 0xYYYY

你可以在捕获到的设备数据包中，查看USB Device Descriptor字段获取对应的VID和PID值。

内容的提问来源于stack exchange，提问作者Velvet