Wireshark过滤返回包特征

取证里遇到一道流量题

判断黑客弱口令登录网站后台失败的次数

根据题意：

过滤post请求，发现登录口是/admin/login的这个

我们追踪他的tcp流量

找到返回包，发现返回的是json格式数据，字符串内容是登录失败,密码错误！

根据特征包过滤其他弱口令登录失败

发现有6个，说明失败了6次