Wireshark 如何注意到哪些 TCP 数据包属于同一个 HTTP 响应？

Question

通过TCP数据包的哪些字段，我们可以判断它是否是前一个TCP数据包的延续？

Answer 1

TCP：序号，确认号。 在 Wireshark 中，您可以右键单击数据包并选择跟随以跟随 TCP 或 HTTP 流。它应该有助于了解数据包之间的值如何变化。

Answer 2

要成为同一 TCP 流的一部分，TCP segments 必须属于同一 session。即具有相同的源 IP、源端口、目标 IP 和目标端口。

一旦两个段来自同一个流，它们就可以通过 TCP 中的序列号字段进行排序 header。下一段的序号应该等于前一个段的序号加上前一个段的字节数。

因此，如果我们有一个带有 seq# 1000 的段和 200 字节的有效载荷，那么下一个应该有编号 1200。