会话统计怎么用
会话统计会输出每个会话的地址、端口、包数、字节数与起止时间，用来快速回答两个问题：谁在聊天、谁占流量。它按连接级别汇总，先粗排再下钻，是分析大文件时最省时间的第一步，避免一上来就逐个包翻看。
基本信息
| 适用平台 | Wireshark 自带的命令行工具，Linux 与 Windows 一致 |
|---|---|
| 语法 | tshark -r 文件 -q -z conv,tcp |
| 输出口径 | 连接级汇总，按包数或字节排序 |
| 同类统计 | conv,udp、conv,ip 等按协议区分 |
典型使用场景
- 大文件里快速找出流量最大的会话
- 先锁定可疑连接，再下钻到具体帧
- 确认某台主机与哪些对端有通信
- 评估会话数量与分布，判断是否存在异常连接
- 结合资产信息定位可疑主机
常用统计
常用统计
tshark -r a.pcap -q -z conv,tcp | head -30
# 输出每会话的端点、包数、字节与时长，按规模排序
tshark -r a.pcap -q -z conv,udp | head -30
# UDP 会话单独看，DNS 与音视频流量多数落在这里
tshark -r a.pcap -q -z conv,tcp -2 | head -30
# 需要更准的统计结果时开启两遍解析输出列读法
| 列 | 含义 | 注意 |
|---|---|---|
| 端点对 | 会话双方的地址与端口 | 方向以首包为准 |
| 包数 | 该会话双向总包数 | 便于判断交互密度 |
| 字节数 | 双向总字节量 | 主要流量占用者 |
| 时长 | 会话持续时间 | 大量短连接时关注端口消耗 |
| 帧范围 | 该会话涉及的帧序号 | 便于导出样本帧 |
输出按全局排序，方向以首包为准。排查「哪条流有问题」时效率很高，但要记住它统计的是连接级别，不是请求级别，两者在长连接复用场景下差别很大。
一条 TCP 连接可能承载多个请求，用会话统计推断请求数量会失真。UDP 与其他协议要用对应参数，一律按 tcp 统计会漏掉大量流量，报告里的占比也就不成立了。
分析流程
- 先按会话规模排序，锁定流量最大的若干条
- 再看会话数量与端口的分布，识别异常连接模式
- 选定可疑会话后用流编号过滤出完整时间线
- 结合会话时长与包数判断是否存在空转或异常交互
- 报告里注明统计口径是连接级而非请求级