如何使用wireshark在两个单独的（和大的）数据包捕获中轻松定位特定的TCP对话？

Question

有时，我需要比较从 TCP 对话双方收集的数据包捕获（通常是 wireshark 或 tcpdump）。有时所涉及的两个主持人非常“健谈”，因此我需要将捕获范围缩小到特定会话。

我通常会通过在detailswireshark 列中查找看起来很熟悉的东西，右键单击该数据包，然后选择Follow TCP Stream. 这一切都很好，但是如何在另一个数据包捕获中找到相同的等效流？WireShark 是否支持搜索某种流 ID？

Answer 1

统计、对话似乎与您想要的非常相似，您可以对其中的流执行“应用为过滤器”。

如果您知道流索引号，则可以放入过滤器中：tcp.stream eq 5

你应该查看ask.wireshark.org，我在那里找到了：

（即，Wireshark *确实*支持搜索流 ID，但无法保证一次捕获中给定 TCP 会话的流 ID 与另一次捕获中该会话的流 ID 相同，因为TCP 中没有流 ID，只有端点标识符 - IP 地址和 TCP 端口。因此，您必须使用统计 -> 对话来查找两个捕获中的对话，然后分别显示它们。） (2认同)