Wireshark中Stream index: 13520所引流ID含义

Posted on Views:

Stream index 的主要作用是逻辑分组。在一个网络抓包文件（pcap）中，可能同时存在成千上万个数据包，来自不同的设备、不同的应用。Wireshark 通过给每个独立的 TCP 或 UDP 会话分配一个独一无二的数字编号（从 0 开始递增），把属于同一个对话的数据包“打包”在一起。

  • 追踪完整对话：点击这个字段，Wireshark 就能立刻知道这个包属于哪一次对话。
  • 方便过滤分析：你可以通过它快速过滤出这特定的一整组对话，排除其他无关流量的干扰。

1. 为什么它能精准定位特定tcp连接数据

Wireshark内部有一个追踪引擎，它通过识别 TCP 握手时的 四元组 来锁定一整个流：

  1. 源 IP 地址（Source IP）
  2. 源端口（Source Port）
  3. 目的 IP 地址（Destination IP）
  4. 目的端口（Destination Port）

1.1定位与识别的原理：

6a9f97810600a54a1f1d92ccb355364e.png

  • 首次捕获：当 Wireshark 看到一个全新的“四元组”组合时（例如图中 100.127.128.146:31320 192.168.3.4:10002），它就会在内存里开辟一个新记录，并分配一个全新的 Stream index（比如你的 13520）。
  • 后续追踪：接下来的所有数据包，无论是客户端发给服务器的，还是服务器回应给客户端的，只要四元组完全对得上（方向相反也算），Wireshark 就会自动给它们贴上同一个 Stream index: 13520 的标签。
  • 结束识别：直到这个连接通过 FIN 或 RST 断开，这一串数据的生命周期才算结束。

2. 实用小技巧如何快速定位

快速查看这串数据：

  • 方法一：右键追踪流（推荐）
    在数据包列表中右键点击该数据包 -> 选择 Follow (追踪) -> TCP Stream。Wireshark 会弹出一个新窗口，把这一连串数据按顺序拼接成人类可读的文本或应用层协议内容（如 HTTP、MQTT 等）。

  • 方法二：使用显示过滤器
    在顶部的过滤器输入框中输入：tcp.stream == 13520，然后按下回车。此时屏幕上就只会留下属于这一个连接的所有数据包，其他干扰数据会被全部隐藏。