在Wireshark中过滤短时TCP连接

Question

如何过滤短时间(例如3秒) TCP连接的数据包？

我想可能会有

ip.addr == xxx.xxx.xxx.xxx && (time(tcp.flags.fin==1) - time(tcp.flags.syn==1)) < 3sec

但我不能做顺流过滤线。

Answer 1

您可以转到Statistics -> Conversations，然后选择TCP选项卡，并通过单击Duration对会话进行排序。现在，您可以准备每个会话，或将其作为过滤器应用，并遵循其流程。此外，还可以使用Copy按钮复制列表。

这种方式并不是通过一次单击就可以过滤所有的连接，但是如果没有太多的连接，您可以为每个连接准备一个筛选器，然后显示它们(右键单击每个会话，Prepare a Filter -> ...or Selected )。