Wireshark 过滤器 - 连接/断开连接而不发送数据

【问题标题】：Wireshark Filter - Connect/Disconnect with no data sentWireshark 过滤器 - 连接/断开连接而不发送数据
【发布时间】：2013-06-09 18:20:39
【问题描述】：

当客户端连接“SYN”/“SYN,ACK”和 PSH,ACK == 0 时，如何过滤wireshark 以显示？我正在尝试确定客户端连接到服务器并断开连接且未收到数据的客户端列表。我想我需要查看 tcp 标志，但不确定如何获取我的过滤器。 Wireshark wiki 对我帮助不大。

【问题讨论】：

标签： wireshark

【解决方案1】：

假设您要跟踪端口 22 上的连接/断开连接。那么您的捕获过滤器将如下所示：

 "(port 22) && (tcp[0xd]&18=2 || tcp[0xd]&1=1)"

或使用 tshark：

tshark -f "(port 22) && (tcp[0xd]&18=2 || tcp[0xd]&1=1)"

【讨论】：