滤镜

滤镜是 WPE x64 的灵魂功能：在封包真正发出 / 收下之前，按规则匹配并改写它。本章把匹配算法、四种特殊标记、五种动作和执行联动一次讲透。

00 · 改包之前：这活该交给谁

WPE 里有四个地方都能「让流量变得不一样」，但适用范围完全不同。选错入口是滤镜不生效的头号原因——尤其是拿滤镜去改 HTTP(S)，那是永远不会命中的：

01 · 滤镜的生命周期

02 · 滤镜列表

02滤镜列表 · 工具条 + 一条执行顺序提示 + 表。

1. 工具条：新增滤镜 · 全部启用 · 全部禁用 · 重置计数；右端是导入 / 导出 / 清空
2. 执行顺序提示条：左边那枚徽标显示 当前实际的执行模式（按顺序执行 / 优先原则，在 系统设置 里切），后面一句话说明这个模式下顺序意味着什么。⚠️ 优先原则那一档徽标转 琥珀——那时「顺序」的含义变了（只跑命中的第一条）
3. 表列：序号 / 启用 / 滤镜名称 / 动作 / 执行次数 / 指定类型 / 递进 / 操作
4. 动作 那一列统一是淡紫色；真正按动作上色的是 封包列表里命中的那一行 —— 替换＝洋红 · 换包＝琥珀 · 拦截＝红 · 仅显示＝青，四组配色在 系统设置 · 动作配色 里可改（不显示 根本不进列表，所以没有它的配色）
5. 启用 是这一屏唯一的勾选框（全项目的勾选框一律是绿的），点一下立刻生效并落库；没启用的行整行压暗，但勾选框那格除外
6. 双击一行 打开滤镜编辑（行尾那支笔也一样）
7. ⚠️ 这张表刻意不能按表头排序：这份列表的 顺序就是数据（引擎按下标从上往下走），排一次就会让屏幕上的顺序与实际执行顺序对不上。要调顺序用右键的置顶 / 上移 / 下移 / 置底

工具条从左到右：新增滤镜 全部启用 全部禁用 重置计数；右端三个作用于整张表：导入（读一个 .fp）导出（把全部滤镜写成 .fp）清空。

列表右键七项，作用于当前选中的那些行（项目名后面直接标着条数）：置顶 / 向上移动 / 向下移动 / 置底 / 导出 / 复制 / 删除，另有 全选 / 取消选择。一行都没选就点，会提示「请先勾选要操作的行」。双击一行 打开滤镜编辑。

创建滤镜的三种方式

1. 滤镜列表工具条 → 新增滤镜：创建一条空滤镜，名字是 滤镜 N（N 是当前条数 + 1），模式 普通、动作 替换、作用类别 默认全勾、启用开关默认关着。
2. 封包列表 / 代理数据列表右键 → 添加到滤镜列表：用该封包内容 自动填充搜索行——最省事的起手式。
3. 在十六进制面板 / 封包编辑里选中一段字节 → 右键 → 添加到滤镜列表：只用选中片段填充，适合已经定位到特征串的情况；一个字节都没选时用的是整包。

03 · 滤镜编辑窗口

03滤镜编辑（普通模式） · 上半是参数，中间是查找 / 修改两行格子，下半是条件与递进。

1. 滤镜名称：自由文本。封包列表右键「添加到滤镜列表」生成的那条，默认名是 服务端地址 + 封包长度（如 101.227.22.133:443 [180]），一眼能分清是哪个连接抓来的
2. 模式：普通（查找与修改 对齐同一列）/ 高级（两者位置各自独立），见 04 节。右边那句灰字会跟着模式换，说的就是这件事
3. 动作：替换 / 换包 / 拦截 / 仅显示 / 不显示，五选一，见 06 节
4. 执行：勾「命中后执行」后，左边选类型（发送列表 / 机器人列表 / 滤镜列表 / 仓库列表）、右边选具体对象；没勾时两个下拉压暗禁用
5. 修改起始于：只有高级模式用得上（普通模式下压暗但仍然显示，让人看得见有这个选项）。「包头」＝ 从第 1 字节算起；「指定位置」＝ 相对 匹配点 的偏移，可以是负数
6. 查找 / 修改：普通模式下两行同在一张表里、共用一个滚动条按列对齐（查找行浅黄、修改行黄）；高级模式下查找只有一行，修改是 另一张独立的表、有自己的滚动条。列号从 001 起，共 1000 列（表下面那一行的右端有「跳到第 N 列」，敲个数字直接滚过去）
7. 图例那一行的三个色块 就是单元格标记：设为排除 · 设为递进 · 设为随机，在格子上右键切换，见 05 节
8. 作用于哪些封包：按当前模式出不同的一组 —— 代理模式是 TCP / UDP 的请求与响应四项（图中所示），注入模式是八个 WinSock 类别。至少勾一个，否则这条滤镜永远不生效
9. 指定类型：包头 / 长度 / 套接字 / 端口四个前置条件，勾了才算数，多个之间是 AND。输入框里的占位符直接示范了写法（如 80 或 80-90，多个用 ; 隔开）—— 保存时会检查格式，写错了当场提示
10. 递进：连续 + 步长 / 进位 + 进位值，与「指定类型」并排各占两行。⚠️ 它只决定 怎么加，加在哪个字节 由修改行里被标成「递进」的格子决定，两者缺一不可

取值器与动态替换（2.5）

「取值器」在 Rules 分组中，用来把一次命中的封包字段保存成变量，再在后续滤镜修改时写回。一个取值器本身不匹配封包；它由滤镜的「取值器赋值」动作触发。变量可为常量、封包取值或表达式，数据类型为整数、浮点、字节或文本。

• 取值可按绝对偏移或相对当前匹配点的偏移读取；整数支持端序与有符号解析，文本支持 UTF-8、GB18030、Big5。越界或转换失败不会产生值。
• 作用域分为全局、Socket、代理会话；后两者可以设有效期。运行值仅留在处理封包的进程内存中，关闭或过期即不可再用，不会写进数据库或备份。
• 表达式可以引用已启用变量（${取值器.变量:格式}）；数值可计算，字节可拼接，文本可拼接。循环或未取到的引用不会产生可写入结果。
• 动态替换在滤镜修改格右键选择「绑定取值器变量」，并选对应写入格式。数值必须明确宽度和端序；当变量不存在、未启用、未取到或过期时，该次修改不会写入该变量。

04取值器列表 · 管理名称、启用状态、作用域、变量数与备注。

05取值器编辑 · 配置作用域、变量类型、取值范围、表达式与有效期。

06绑定取值器变量 · 在滤镜修改格中选择变量和写入格式。

04 · 普通模式 vs 高级模式

修改起始于（仅高级模式）

通配符

搜索格支持 半字节通配：

05 · 三种单元格标记

在格子上右键即可切换，靠 底色 区分。三种标记在两张表下面有一排 同色图例，与格子一眼对得上；再右键一次「取消排除 / 取消标记」还原。递进与随机互斥，标了一个另一个自动撤掉；空格子不能设排除（会提示「空值无法设置排除」），把值删空时紫底也跟着撤掉。

递进的计算方式

对每个递进位：新值 = 旧值 + 步长 ×（递进次数 + 1）（超过 0xFF 按 256 取模）

• 勾了 连续，每命中一次「递进次数」+1，形成持续累加；不勾则每次都是同样的增量
• 勾了 进位，字节溢出（> 0xFF）时向 前面 的字节进位，最多往前推 进位值 个字节；哪一位不再产生进位就停
• 「递进次数」不落库：重启程序、或在列表工具条上按「重置计数」，它和执行次数一起归零

06 · 五种动作

执行联动

勾上「命中后执行」之后，左边那个下拉选类型、右边那个选具体对象：

对应列表为空时右边那个下拉会写「这张表还没有可选项」——先去建一个发送 / 机器人 / 仓库再回来。

07 · 滤镜执行模式

在 系统设置 → 滤镜执行模式 里切换：

08 · 滤镜日志与统计

每次命中（非 极速模式）会写一条滤镜日志：时间 / 滤镜名称 / 动作 / 匹配数 / 类型 / 长度，在 系统日志 → 滤镜日志 查看，可导出 Excel。「匹配数」在普通模式下恒为 1，高级模式下是这一包里命中了几处。

统计数据 页则给出滤镜执行占比与各动作占比的进度条。

09 · 导入导出与格式转换

• 原生格式 .fp（滤镜列表文件，XML，可加密）
• 从 旧版 WPE 的 .filt 过滤器文件 转换：用 数据提取 页，选 旧版 FILT 过滤器 那张卡（.filt → .fp），再把生成的 .fp 用滤镜列表的「导入」读进来。转换按行解析 35 个 ￥ 分隔字段，映射出滤镜名称、包头 / 套接字 / 长度条件、普通 / 高级模式、替换 / 拦截 / 不显示 / 仅显示四种动作、搜索与修改内容、递进等；转出来的滤镜一律是未启用的，导入后要自己打开

10 · 五个实战案例

案例 1 · 把某个字段固定改成某个值

需求：所有「发送」类封包，第 5 个字节（下标 4）由 01 改成 09。

1. 新增滤镜，命名「锁定字段」。
2. 模式 = 普通；动作 = 替换。
3. 作用类别勾 发送（注入）或 TCP 请求（代理）。
4. 数据表：搜索行第 005 列填 01；修改行第 005 列填 09。
5. 保存 → 回列表打开启用开关。

案例 2 · 屏蔽刷屏的心跳包

需求：包头是 01 00 03、长度恒为 8 的包不要出现在列表里。

1. 新增滤镜，动作 = 不显示。
2. 指定类型：勾 包头，填 01 00 03（两位一组，空格可有可无）。
3. 指定类型：勾 长度，填 8。
4. 数据表搜索行 001 / 002 / 003 分别填 01 / 00 / 03。

案例 3 · 特征串跟随修改（高级模式）

需求：无论 4A 5B 出现在包的哪里，都把它后面第 2 个字节改成 FF。

1. 模式 = 高级；动作 = 替换；修改起始于 = 指定位置。
2. 搜索表：001 填 4A，002 填 5B。
3. 修改表（相对）：在偏移 +3 的列填 FF。
   锚点 4A = 偏移 0，5B = 1，其后第 1 个 = 2，第 2 个 = 3。

案例 4 · 序号自增（递进）

需求：每次命中就把第 9 字节 +1，溢出时向前进位 2 字节。

1. 模式 = 普通；动作 = 替换。
2. 递进组：勾 连续，步长填 1；勾 进位，进位值填 2。
3. 在 修改行第 009 列右键 → 设为递进（格子变深红）。

案例 5 · 命中后自动回发一串数据

1. 先建一个 发送 项，把要回发的封包加进它的发送集。
2. 建滤镜，动作可选 仅显示（只是想借它触发，不改数据）。
3. 勾 命中后执行 → 左边的类型选 发送列表 → 右边选中刚才那个发送项。

11 · 滤镜不生效排查清单