如何在Wireshark中爲「特定數據包使用」Follow TCP stream「？

我試圖在Wireshark中構建我的過濾器來過濾掉不需要的數據包。目前過濾器的樣子：！！！如何在Wireshark中爲「特定數據包使用」Follow TCP stream「？

（http.request.method == POST）& &（http或框架包含「AA」 || http或框架包含「BB」）& &（http.response.code == 404或http.response.code == 301或http.response.code == 302或http.response.code == 303）

表示：「顯示任何流量，但：具有HTTP POST的數據包方法和數據包與酬包含字符串「AA」或「BB」，並分組進行響應代碼404或301或302或303"

從我的角度來看此過濾器可以正確並且很多數據包被過濾掉，我只能看到最重要的數據包。但是現在我想在其餘最重要的數據包上使用「遵循TCP流」。當我嘗試使用「Follow TCP stream」選項時，wireshark正在從整個pcap文件中尋找TCP流，而不是過濾後最重要的數據包。

總結我不想做「跟隨TCP流」爲過濾掉數據包，只是過濾後剩餘的包。

我該如何解決這個問題？

來源

2015-11-04 noname123

「跟隨TCP流」也只能跟着一個完整的TCP連接;它不能僅顯示來自該連接的選定數據包的數據。如果您希望能夠在TCP連接中顯示某些數據但不是所有數據包，則必須請求該數據作爲Wireshark Bugzilla上的增強功能。

作爲一種變通方法，你也許能夠滯留分組保存到一個文件，打開該文件，然後嘗試在該文件中的數據包「跟隨TCP流」。

來源

2015-11-04 19:11:50

經過進一步調查，我發現這樣做的唯一途徑是通過我的過濾器，然後做「標記所有顯示的數據包」。之後，我們可以通過「導出指定數據包...」導出選定數據包，並記得選擇「數據包範圍：標記數據包」。然後我們有新的pcap文件和指定的數據包，我們可以使用「Follow TCP stream」功能。謝謝@Guy Harris提示 – noname123

不幸的是您只能「跟蹤TCP流」整個TCP連接，與來自連接的所有數據包。

唯一繳費在TCP流中過濾就是查看TCP的特定方向的能力：

從A - >乙
從乙 - >甲

可以在「跟蹤TCP流」對話框中選擇此選項。

來源

2015-11-04 19:28:13

如何在Wireshark中爲「特定數據包使用」Follow TCP stream「？

回答

相關問題