博客链接: http://codeshold.me/2017/08/tcpdump_tshark_notes.html
平时需要对数据包进行分析和统计,尽管使用python scapy库来开发很方便,但若是熟悉tshark(wireshark的命令行),tcpdump 等工具,含editcap,mergecap 等,写个简单的shell分析脚本,那会更加方便!
简介
tcpdump
man tcpdump
tshark
- tshark 是一次性将整个数据包读入内存的,分析好后再统一输出,所以针对超大文件的分析,需要注意!但是和wireshark相比,tshark能分析的文件已经很大了,具体和系统配置有关!
- 同tshark一起的还有其他工具,是一套的,如 editcap, mergecap, capinfos
man tshark
,man wireshark-filter
,man editcap
,man mergecap
- 一个很棒的网页,自己一直收藏着
- This is a place for scripts and tools related to Wireshark / TShark that users may like to share, and for links to related NetworkTroubleshooting tools.
常用实例
tshark (editcap, capinfos)
- 过滤出特定时间段的数据包
# 过滤出 src.pcap 中 2017-06-17 10:40:00 到 2017-06-17 10:50:00 之间的数据包,其中 -F 参数表示文件格式,即 the file format of the output capture file! 留意 pcapng 格式的数据包