tshark简单使用-wireshark

转载 2012年03月26日 09:45:07

Ethereal是一个很流行的开源sniffer,支持包括solaris在内的很多平台。2006年初,主导Ethereal源码的大牛GeraldCombs跳槽到了CACE公司。原来“Ethereal”的商标就不能用了。伟大的开源项目如果因此而over,不免同好者唏嘘。怎么办?Combs等人只得舍弃人气既旺的Ethereal名号,将项目更名为Wireshark。它吸引了大多数原来Ethereal的contributor,从Ethereal的fork点0.99.1开始,继续添加无数令人兴奋的新功能。这个互联网的放大镜,展现给了我们一个生动却又枯燥,温馨伴着冷漠,充满智慧的流量和阴谋的机关,不舍虚构而又看似真实的“以太”世界。

Ethereal的玩法如大多sniffer。更有趣之处在于它提供了命令行的抓包程序tethereal(现在改名为tshark)等一系列命令行工具,能够无缝地融入unix/windows脚本语言,使嗅探、分析的工作更得强援。

tethereal/tshark位于图形化软件的相同目录内。和大多数unix脚本一样,它都提供了比较翔实的manpage(个人认为,可惜例子还是少了一点)。

以下试验均基于windows平台的Wireshark,版本0.99.3。


基本语法:tshark-a <capture autostop condition> ] ...[ -b <capture ring buffer option>] ...[ -B <capture buffer size (Win32 only)> ] [ -c <capture packet count> ][ -d <layer type>==<selector>,<decode-as protocol> ][ -D ][ -f <capture filter> ][ -F <file format> ][ -h ][ -i <capture interface>|- ][ -l ][ -L ][ -n ][ -N <name resolving flags> ][ -o <preference setting> ] ...[ -p ][ -q ][ -r <infile> ][ -R <read (display) filter> ][ -s <capture snaplen> ][ -S ][ -t ad|a|r|d ][ -T pdml|psml|ps|text ][ -v ][ -V ][ -w <outfile>|- ][ -x ][ -X <eXtension option>][ -y <capture link type> ][ -z <statistics> ]

根据试验,参数的书写有讲究。模仿tcpdump,可以把抓包过滤表达式写在命令的最后。一般将抓包表达式用引号quote起来(在windows上是双引号"),一是为了视觉方便,一是为了逃避其中字符和shell语法的冲突(如“>”,“||”等)。抓包过滤表达式也可以写在-f参数的后面,注意,此时更应该使用引号或者将-f放在最后。否则,它们会认为-f(可省)后面的参数都是表达式的一部分,而导致命令格式混乱。

主要参数分类含义权作解说如下:

1. 抓包接口类

  • -i设置抓包的网络接口,不设置则默认为第一个非自环接口。
  • -D列出当前存在的网络接口。在不了解OS所控制的网络设备时,一般先用“tshark-D”查看网络接口的编号以供-i参数使用。
  • -f 设定抓包过滤表达式(capture filterexpression)。抓包过滤表达式的写法雷同于tcpdump,可参考tcpdump manpage的有关部分。
  • -s 设置每个抓包的大小,默认为65535,多于这个大小的数据将不会被程序记入内存、写入文件。(这个参数相当于tcpdump的-s,tcpdump默认抓包的大小仅为68)
  • -p 设置网络接口以混合模式工作,即只关心和本机有关的流量。
  • -B 设置内核缓冲区大小,仅对windows有效。
  • -y设置抓包的数据链路层协议,不设置则默认为-L找到的第一个协议,局域网一般是EN10MB等。
  • -L列出本机支持的数据链路层协议,供-y参数使用。   

2. 抓包停止条件

  • -c 抓取的packet数,在处理一定数量的packet后,停止抓取,程序退出。
  • -a 设置tshark抓包停止向文件书写的条件,事实上是tshark在正常启动之后停止工作并返回的条件。条件写为test:value的形式,如“-aduration:5”表示tshark启动后在5内抓包然后停止;“-afilesize:10”表示tshark在输出文件达到10kB后停止;“-afiles:n”表示tshark在写满n个文件后停止。(windows版的tshark0.99.3用参数“-afiles:n”不起作用——会有无数多个文件生成。由于-b参数有自己的files参数,所谓“和-b的其它参数结合使用”无从说起。这也许是一个bug,或tshark的manpage的书写有误。)

3. 文件输出控制

  • -b 设置ringbuffer文件参数。ringbuffer的文件名由-w参数决定。-b参数采用test:value的形式书写。“-bduration:5”表示每5秒写下一个ring buffer文件;“-bfilesize:5”表示每达到5kB写下一个ringbuffer文件;“-b files:7”表示ringbuffer文件最多7个,周而复始地使用,如果这个参数不设定,tshark会将磁盘写满为止。

4. 文件输入

  • -r设置tshark分析的输入文件。tshark既可以抓取分析即时的网络流量,又可以分析dump在文件中的数据。-r不能是命名管道和标准输入。

5. 处理类

  • -R设置读取(显示)过滤表达式(read filterexpression)。不符合此表达式的流量同样不会被写入文件。注意,读取(显示)过滤表达式的语法和底层相关的抓包过滤表达式语法不相同,它的语法表达要丰富得多,请参考http://www.ethereal.com/docs/dfref/http://www.ethereal.com/docs/man-pages/ethereal-filter.4.html。类似于抓包过滤表达式,在命令行使用时最好将它们quote起来。
  • -n禁止所有地址名字解析(默认为允许所有)。
  • -N启用某一层的地址名字解析。“m”代表MAC层,“n”代表网络层,“t”代表传输层,“C”代表当前异步DNS查找。如果-n和-N参数同时存在,-n将被忽略。如果-n和-N参数都不写,则默认打开所有地址名字解析。
  • -d 将指定的数据按有关协议解包输出。如要将tcp8888端口的流量按http解包,应该写为“-dtcp.port==8888,http”。注意选择子和解包协议之间不能留空格。

6. 输出类

  • -w设置raw数据的输出文件。这个参数不设置,tshark将会把解码结果输出到stdout。“-w-”表示把raw输出到stdout。如果要把解码结果输出到文件,使用重定向“>”而不要-w参数。
  • -F设置输出raw数据的格式,默认为libpcap。“tshark-F”会列出所有支持的raw格式。
  • -V设置将解码结果的细节输出,否则解码结果仅显示一个packet一行的summary。
  • -x设置在解码输出结果中,每个packet后面以HEXdump的方式显示具体数据。
  • -T设置解码结果输出的格式,包括text,ps,psml和pdml,默认为text。
  • -t设置解码结果的时间格式。“ad”表示带日期的绝对时间,“a”表示不带日期的绝对时间,“r”表示从第一个包到现在的相对时间,“d”表示两个相邻包之间的增量时间(delta)。
  • -S在向raw文件输出的同时,将解码结果打印到控制台。
  • -l在处理每个包时即时刷新输出。
  • -X 扩展项。
  • -q设置安静的stdout输出(例如做统计时)
  • -z 设置统计参数。

7. 其它

  • -h 显示命令行帮助。
  • -v显示tshark的版本信息。
  • -o 重载选项。

在即时抓包模式(-r未设定)时的各参数功能一览:

简单把玩tethereal/tshark

在文件读取分析模式时的各参数功能一览:

简单把玩tethereal/tshark

出处:http://blog.sina.com.cn/s/blog_5919b8b10100064e.html


使用PYTHON解析Wireshark的PCAP文件

PYTHON首先要安装scapy模块 PY3的安装scapy-python3,使用PIP安装就好了 PY2的安装scapy,比较麻烦 from scapy.all import * pcaps =...
  • chenzhuyu
  • chenzhuyu
  • 2016年01月19日 21:17
  • 11846

tshark命令小结

基本语法:tshark [ -a autostop condition> ] ... [ -b ring buffer option>] ... [ -B buffer size (Win32 o...
  • xanxus46
  • xanxus46
  • 2014年02月23日 11:19
  • 24843

tshark 使用说明

yum install -y wireshark 最近才发现,原来wireshark也提供有Linux命令行工具-tshark。tshark不仅有抓包的功能,还带了解析各种协议的能力。下面我们以两个...
  • zhaoyangjian724
  • zhaoyangjian724
  • 2016年12月07日 17:48
  • 867

tshark的使用

最近在使用wireshark学习网络知识,经过前辈指点知道了命令行形式的tshark,一起学习吧! 环境: TShark 1.4.9 window10Capture interface: 译:...
  • share_free
  • share_free
  • 2016年08月18日 20:56
  • 616

tshark命令

Ethereal是一个很流行的开源sniffer,支持包括solaris在内的很多平台。2006年初,主导Ethereal源码的大牛Gerald Combs跳槽到了CACE公司。原来“Ethereal...
  • linyu19872008
  • linyu19872008
  • 2014年02月13日 10:32
  • 556

tshark抓包小结

tshark命令详解网络抓包,分析工具。wireshark 的 Linux命令行工具。tshark option-i 设置抓包的网络接口,不设置则默认为第一个非自环接口。 -D 列出当前存在的网络接口...
  • chen8238065
  • chen8238065
  • 2016年12月17日 21:55
  • 3113

tshark----wireshark的命令行工具

TShark is a network protocol analyzer. It lets you capture packet data from a live network, or read ...
  • hello2mao
  • hello2mao
  • 2017年01月01日 20:14
  • 853

利用tshark对网络数据包做进一步的分析

http://blog.csdn.net/powerccna/article/details/15498581 在性能测试或者对大量网络数据包做数据分析的时候,考人工方法显然行不通,研究调用...
  • oMingZi12345678
  • oMingZi12345678
  • 2016年06月27日 17:04
  • 1578

wireshark 实用过滤表达式(针对ip、协议、端口、长度和内容)

首先说几个最常用的关键字,“eq” 和 “==”等同,可以使用 “and” 表示并且,“or”表示或者。“!" 和 "not” 都表示取反。   一、针对wireshark最常用的自然是针对IP地址...
  • a2657222
  • a2657222
  • 2012年08月01日 20:42
  • 96569

Linux命令行抓包及包解析工具tshark(wireshark)使用实例解析

WEB2.0 » Unix&Linux技术 评论(0) 背景:当时有用tcpdump抓包的(https://justwinit.cn/post/6406/),这儿主要是能看到mysql的查询,这...
  • baixue6269
  • baixue6269
  • 2015年01月14日 10:41
  • 11158
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:tshark简单使用-wireshark
举报原因:
原因补充:

(最多只允许输入30个字)