Wireshark 如何只查看指定 TCP 端口的握手包

抓包文件里同时有 DNS、HTTP、TLS 和其他业务流量时，直接翻报文很容易把后续 ACK 当成 TCP 握手。Wireshark 的正确用法是先按端口缩小范围，再用 SYN 标志找到握手候选，最后进入同一条 TCP stream 按时间顺序确认三个报文。

官方地址：https://www.wireshark.org/

先打开抓包并确认过滤器位置

启动 Wireshark，点击“文件 → 打开”，选择 pcap 或 pcapng 文件。窗口顶部的输入框是显示过滤器栏，右侧的应用按钮负责让条件生效。这里不要把条件写到“捕获过滤器”里：捕获过滤器只影响正在进行的抓包，显示过滤器则是在已经打开的文件中隐藏暂时不关心的报文，原始数据仍然保留。

如果过滤器栏背景变红，先检查字段拼写和括号；变绿后按 Enter 应用。本文用 443 举例，换成业务端口时只改数字。

先用端口和 SYN 条件缩小报文列表

在过滤器栏输入 tcp.port == 443，按 Enter。它会保留源端口或目的端口为 443 的 TCP 报文。接着把条件改为 tcp.port == 443 && tcp.flags.syn == 1，列表通常会收敛到连接发起方向的 SYN 和服务端返回的 SYN-ACK。

这一步的结果是“握手候选”，不是完整三次握手。因为第三个 ACK 的 SYN 标志为 0，不能期待它继续出现在这个条件里。

用 TCP stream 核对完整三次握手

在结果列表中选中一条 SYN 或 SYN-ACK，依次点击“分析 → 跟踪 → TCP 流”。也可以右键报文选择同名菜单。Wireshark 会把当前连接对应的过滤条件写成类似 tcp.stream eq 12，并把列表收敛到这一条 TCP 连接。

关闭跟踪窗口后保留这个过滤器，按时间从上到下核对：客户端发出的 SYN、服务端返回的 SYN-ACK、客户端发送的第三个 ACK。观察 Info、源/目的端口和 TCP 详情中的 Flags、Seq、Ack。第三个 ACK 通常是没有 SYN 标志的纯确认包，因此不要用“是否显示 SYN”作为完整握手的唯一判断。

用一张检查表判断握手是否完整

如果只剩大量 ACK，先保留 tcp.stream eq 12，再在列表顶部按时间定位该流的最早报文；不要直接用一个宽泛的 tcp.flags.ack == 1，否则业务传输期间的普通确认也会混进来。

没有结果时先排查这四件事

1. 点击过滤器栏右侧清除按钮，确认文件本身确实包含 TCP 报文。
2. 确认端口是服务端端口还是客户端临时端口；tcp.port 会匹配两端，而 tcp.dstport 只匹配目的端口。
3. 若 SYN 不见了，可能抓包从连接建立之后才开始；此时无法从当前文件还原缺失的握手包。
4. 若出现 SYN、SYN-ACK 但没有第三个 ACK，进入对应 stream 检查是否紧接着出现重传、RST 或网络方向缺包。

相关问题

tcp.port 和 tcp.dstport 有什么区别？

tcp.port 匹配源端口或目的端口，适合先找一项服务的全部会话；tcp.dstport 只匹配目的端口，适合限定“发往服务端”的方向。

为什么 SYN 过滤器看不到第三个 ACK？

第三个 ACK 的 SYN 标志为 0，所以它不满足 tcp.flags.syn == 1。先用它找到连接，再用 tcp.stream eq N 查看同一流的前三个报文。

显示过滤器会不会删除原始报文？

不会。它只改变当前列表的显示范围，清除过滤器后仍可看到抓包文件中的其他报文。