Как можно легко найти определенный TCP-диалог в двух отдельных (и больших) перехваченных пакетах с помощью Wireshark?

Question

Иногда мне нужно будет сравнить пакетные захваты (обычно wireshark или tcpdump), собранные с обеих сторон TCP-диалога. Иногда два вовлеченных хоста очень «болтливы», поэтому мне нужно будет сузить захват до определенного сеанса.

Обычно я делаю это, просматривая столбец detailsWireshark на предмет чего-то знакомого, нажимая правой кнопкой мыши на этом пакете и выбирая Follow TCP Stream. Это все хорошо, но как мне найти тот же эквивалентный поток в другом захвате пакета? Поддерживает ли WireShark поиск идентификатора потока какого-либо рода?

Answer 1

Статистика, разговоры кажутся очень похожими на то, что вам нужно, там вы можете применить «Применить как фильтр» к потокам.

Если вы знаете индекс потока, вы можете ввести фильтр:tcp.stream eq 5

Вам стоит зайти на ask.wireshark.org, где я нашел:

Как Wireshark вычисляет индекс потока TCP?

Как просмотреть списки потоков?

Answer 2

Если вы используете TCP, исходный порт обычно достаточно уникален для трассировки в известные периоды. Я бы загрузил первый захват в Wireshark, а затем перешел бы к , File -> Mergeчтобы оба конца трассировки были перечислены рядом друг с другом. Убедитесь, что выбрано «Объединить пакеты в хронологическом порядке».

Затем найдите один из пакетов, который выглядит интересным. В зависимости от направления, уникальный порт источника или назначения, вероятно, будет между 49152 и 65535.

Затем в поле фильтра на главном экране введите tcp.port == 49152, где 49152 — ваш уникальный порт.