如何在 Wireshark 中选择所有“重组 PDU 的 TCP 段”帧？

Question

Wireshark 中是否有过滤器可以选择所有“重新组装的 PDU 的 TCP 段”数据包？

Answer 1

在过滤框中输入：tcp.reassembled_in

这种方法可以过滤已读取的数据包，但在实时捕获过程中处理新数据包时效果并不好。我认为这是因为“重组”属性在所有参与重组的数据包到达之前是不可知的（它是指向组中最后一个数据包的前向指针）。重组完成后，要改变过滤器不显示早期数据包的决定就太晚了。