dumpcap 是 Wireshark 套件中的一个命令行工具，用于捕获网络流量。如果你想要筛选数据包，可以使用 -Y 或 --filter 选项来指定一个 BPF（Berkeley Packet Filter）表达式。这个表达式定义了哪些数据包应该被捕获。
以下是一些使用 dumpcap 筛选数据包的基本步骤：
打开命令行界面（例如，在 Windows 上是命令提示符或 PowerShell，在 Linux 或 macOS 上是终端）。
输入 dumpcap 命令，后跟你想要应用的筛选表达式。例如，如果你只想捕获发往或来自特定 IP 地址的数据包，你可以使用如下命令：
dumpcap -i eth0 host 192.168.1.1
这里 -i eth0 指定了要监听的网络接口（在这个例子中是 eth0），而 host 192.168.1.1 是筛选表达式，表示只捕获与 IP 地址 192.168.1.1 相关的数据包。
按下回车键执行命令。dumpcap 将开始捕获符合筛选条件的数据包。
如果你想要将捕获的数据包保存到文件中以便后续分析，可以使用 -w 选项指定输出文件的名称：
dumpcap -i eth0 -w output.pcap host 192.168.1.1
这将捕获与 IP 地址 192.168.1.1 相关的数据包，并将它们保存到 output.pcap 文件中。
请注意，为了使用 dumpcap 和 Wireshark，你可能需要管理员或 root 权限，因为捕获网络流量通常需要较高的权限。
此外，BPF 表达式非常强大，可以进行复杂的筛选。例如，你可以根据端口号、协议类型、数据包大小等来筛选数据包。以下是一些例子：
捕获所有 TCP 数据包：
dumpcap -i eth0 tcp
捕获所有发往或来自特定端口（例如 HTTP 的 80 端口）的数据包：
dumpcap -i eth0 port 80
捕获所有大于 1MB 的数据包：
dumpcap -i eth0 'frame.len > 1048576'
在使用 dumpcap 时，请确保你的筛选表达式正确无误，因为错误的表达式可能导致捕获不到任何数据包或者捕获过多的不相关数据包。