Wireshark命令行工具tshark详解

最新推荐文章于 2024-09-03 20:43:29 发布
最新推荐文章于 2024-09-03 20:43:29 发布
阅读量1.4k 收藏 5
点赞数

Wireshark命令行工具tshark使用小记

1、目的

　　写这篇博客的目的主要是为了方便查阅，使用wireshark可以分析数据包，可以通过编辑过滤表达式来达到对数据的分析；但我的需求是，怎么样把Data部分导出来，因为后续的工作主要针对数据包的Data部分，主要是对本地存储的.pcap文件进行解析。这时候就会使用到tshark命令行工具，可以通过命令提取自己想要的数据，可以重定向到文件，也可以结合上层语言比如Java，来调用命令行，实现对数据的处理！

　　下面我会从 相关实例、选项介绍、部分实例运行结果 进行概括!

2、首先我们先来看一下网上的一些例子，我对这些例子进行了整理，并给出了说明。

复制代码

//打印http协议流相关信息
tshark -s 512 -i eth0 -n -f 'tcp dst port 80' -R 'http.host and http.request.uri' -T fields -e http.host -e http.request.uri -l | tr -d '\t'
　　注释：
　　　　-s: 只抓取前512字节；
　　　　-i: 捕获eth0网卡；
　　　　-n: 禁止网络对象名称解析;
　　　　-f: 只捕获协议为tcp,目的端口为80;
　　　　-R: 过滤出http.host和http.request.uri;
　　　　-T,-e: 指的是打印这两个字段;
　　　　-I: 输出到命令行界面; 
//实时打印当前mysql查询语句
tshark -s 512 -i eth0 -n -f 'tcp dst port 3306' -R 'mysql.query' -T fields -e mysql.query
　　　注释:
　　　　-R: 过滤出mysql的查询语句;
//导出smpp协议header和value的例子
tshark -r test.cap -R '(smpp.command_id==0x80000004) and (smpp.command_status==0x0)' -e smpp.message_id -e frame.time -T fields -E header=y >test.txt
　　　注释:
　　　　-r: 读取本地文件，可以先抓包存下来之后再进行分析;
　　　　-R: smpp...可以在wireshark的过滤表达式里面找到，后面会详细介绍;
　　　　-E: 当-T字段指定时，设置输出选项，header=y意思是头部要打印;
　　　　-e: 当-T字段指定时，设置输出哪些字段;
　　　　 >: 重定向;
//统计http状态
tshark -n -q -z http,stat, -z http,tree
　　　注释:
　　　　-q: 只在结束捕获时输出数据，针对于统计类的命令非常有用;
　　　　-z: 各类统计选项，具体的参考文档，后面会介绍，可以使用tshark -z help命令来查看所有支持的字段;
　　　　　　 http,stat: 计算HTTP统计信息，显示的值是HTTP状态代码和HTTP请求方法。
　　　　　　 http,tree: 计算HTTP包分布。 显示的值是HTTP请求模式和HTTP状态代码。
//抓取500个包提取访问的网址打印出来
tshark -s 0 -i eth0 -n -f 'tcp dst port 80' -R 'http.host and http.request.uri' -T fields -e http.host -e http.request.uri -l -c 500
　　　注释: 
　　　　-f: 抓包前过滤；
　　　　-R: 抓包后过滤；
　　　　-l: 在打印结果之前清空缓存;
　　　　-c: 在抓500个包之后结束;
//显示ssl data数据
tshark -n -t a -R ssl -T fields -e "ip.src" -e "ssl.app_data"

//读取指定报文,按照ssl过滤显示内容
tshark -r temp.cap -R "ssl" -V -T text
　　注释: 
　　　　-T text: 格式化输出，默认就是text;
　　　　-V: 增加包的输出;//-q 过滤tcp流13，获取data内容
tshark -r temp.cap -z "follow,tcp,ascii,13"

//按照指定格式显示-e
tshark -r temp.cap -R ssl -Tfields -e "ip.src" -e tcp.srcport -e ip.dst -e tcp.dstport

//输出数据
tshark -r vmx.cap -q -n -t ad -z follow,tcp,ascii,10.1.8.130:56087,10.195.4.41:446 | more
　　注释:
　　　　-t ad: 输出格式化时间戳;
//过滤包的时间和rtp.seq
tshark  -i eth0 -f "udp port 5004"  -T fields -e frame.time_epoch -e rtp.seq -o rtp.heuristic_rtp:true 1>test.txt
　　注释:
　　　　-o: 覆盖属性文件设置的一些值;

//提取各协议数据部分
tshark -r H:/httpsession.pcap -q -n -t ad -z follow,tcp,ascii,71.6.167.142:27017,101.201.42.120:59381 | more

复制代码

上面的例子已经涵盖了大部分的选项，下面我针对每一个选项进行简要解释，并给出这个选项常用的值；

3、选项介绍

　　在命令行下可以使用tshark -help得到选项的简单介绍，具体的需要查阅官方文档https://www.wireshark.org/docs/man-pages/tshark.html

复制代码

捕获接口:
　　-i: -i <interface> 指定捕获接口，默认是第一个非本地循环接口;
　　-f: -f <capture filter> 设置抓包过滤表达式，遵循libpcap过滤语法，这个实在抓包的过程中过滤，如果是分析本地文件则用不到。
　　-s: -s <snaplen> 设置快照长度，用来读取完整的数据包，因为网络中传输有65535的限制，值0代表快照长度65535，默认也是这个值；
　　-p: 以非混合模式工作，即只关心和本机有关的流量。
　　-B: -B <buffer size> 设置缓冲区的大小，只对windows生效，默认是2M;
　　-y: -y<link type> 设置抓包的数据链路层协议，不设置则默认为-L找到的第一个协议，局域网一般是EN10MB等;
　　-D: 打印接口的列表并退出;
　　-L 列出本机支持的数据链路层协议，供-y参数使用。

捕获停止选项:
　　-c: -c <packet count> 捕获n个包之后结束，默认捕获无限个;
　　-a: -a <autostop cond.> ... duration:NUM，在num秒之后停止捕获;
　　　　　　　　　　　　　　　　　　 filesize:NUM，在numKB之后停止捕获;
　　　　　　　　　　　　　　　　　   files:NUM，在捕获num个文件之后停止捕获;
捕获输出选项:
　　-b <ringbuffer opt.> ... ring buffer的文件名由-w参数决定,-b参数采用test:value的形式书写;
　　　　　　　　　　　　　　　　 duration:NUM - 在NUM秒之后切换到下一个文件;
　　　　　　　　　　　　　　　　 filesize:NUM - 在NUM KB之后切换到下一个文件;
　　　　　　　　　　　　　　　　 files:NUM - 形成环形缓冲，在NUM文件达到之后;

RPCAP选项:
　　remote packet capture protocol，远程抓包协议进行抓包；
　　-A:  -A <user>:<password>,使用RPCAP密码进行认证;

输入文件:
　　-r: -r <infile> 设置读取本地文件

处理选项:
　　-2: 执行两次分析
　　-R: -R <read filter>,包的读取过滤器，可以在wireshark的filter语法上查看；在wireshark的视图->过滤器视图，在这一栏点击表达式，就会列出来对所有协议的支持。
　　-Y: -Y <display filter>,使用读取过滤器的语法，在单次分析中可以代替-R选项;
　　-n: 禁止所有地址名字解析（默认为允许所有）
　　-N: 启用某一层的地址名字解析。“m”代表MAC层，“n”代表网络层，“t”代表传输层，“C”代表当前异步DNS查找。如果-n和-N参数同时存在，-n将被忽略。如果-n和-N参数都不写，则默认打开所有地址名字解析。
　　-d: 将指定的数据按有关协议解包输出,如要将tcp 8888端口的流量按http解包，应该写为“-d tcp.port==8888,http”;tshark -d. 可以列出所有支持的有效选择器。
　　
输出选项:
　　-w: -w <outfile|-> 设置raw数据的输出文件。这个参数不设置，tshark将会把解码结果输出到stdout,“-w -”表示把raw输出到stdout。如果要把解码结果输出到文件，使用重定向“>”而不要-w参数。
　　-F: -F <output file type>,设置输出的文件格式，默认是.pcapng,使用tshark -F可列出所有支持的输出文件类型。
　　-V: 增加细节输出;
　　-O: -O <protocols>,只显示此选项指定的协议的详细信息。
　　-P: 即使将解码结果写入文件中，也打印包的概要信息；
　　-S: -S <separator> 行分割符
　　-x: 设置在解码输出结果中，每个packet后面以HEX dump的方式显示具体数据。
　　-T: -T pdml|ps|text|fields|psml,设置解码结果输出的格式，包括text,ps,psml和pdml，默认为text
　　-e: 如果-T fields选项指定，-e用来指定输出哪些字段;
　　-E: -E <fieldsoption>=<value>如果-T fields选项指定，使用-E来设置一些属性，比如
　　　　header=y|n
　　　　separator=/t|/s|<char>
　　　　occurrence=f|l|a
　　　　aggregator=,|/s|<char>
　　-t: -t a|ad|d|dd|e|r|u|ud 设置解码结果的时间格式。“ad”表示带日期的绝对时间，“a”表示不带日期的绝对时间，“r”表示从第一个包到现在的相对时间，“d”表示两个相邻包之间的增量时间（delta）。
　　-u: s|hms 格式化输出秒；
　　-l: 在输出每个包之后flush标准输出
　　-q: 结合-z选项进行使用，来进行统计分析；
　　-X: <key>:<value> 扩展项，lua_script、read_format，具体参见 man pages；
　　-z：统计选项，具体的参考文档;tshark -z help,可以列出，-z选项支持的统计方式。
　　
其他选项:
　　-h: 显示命令行帮助；
　　-v: 显示tshark 的版本信息;

复制代码

 4、部分命令测试

　　在第三节我简要介绍了tshark相关的命令，在这一节我们主要测试几个选项的输出结果，来对命令加深理解。对于第三节的命令选项，比较重要的已经用蓝色标出，方便查阅。

　　使用tshark对数据包进行分析，主要是对过滤器的学习，根据自己的需求写出响应的过滤器，来得到相应的数据。

　　针对于我的需求，先抓包在分析，还想将命令行整合进java语言中，然后进行面向对象的分析，那么就需要一些特别的命令来获取一些数据：

复制代码

//1. 示例1，分析报文封装的协议
　　C:\Users\sdut>tshark -r H:\httpsession.pcap -T fields -e frame.number -e frame.protocols -E header=y
　　--输出　　
　　frame.number    frame.protocols
　　1       eth:ethertype:ip:tcp
　　2       eth:ethertype:ip:tcp
　　3       eth:ethertype:ip:tcp
　　4       eth:ethertype:ip:tcp:http
　　5       eth:ethertype:ip:tcp
　　6       eth:ethertype:ip:tcp:http:data-text-lines
　　7       eth:ethertype:ip:tcp
　　8       eth:ethertype:ip:tcp
　　9       eth:ethertype:ip:tcp
　　-e frame.number：显示帧序号
　　-e frame.time: 显示时间，时间格式为 Sep 21, 2016 17:20:02.233249000 中国标准时间 
　　-e frame.protocols: 显示此数据包使用的协议
　　-e ip.src: 显示源ip，但是不能跟frame一起用
　　-e ip.dst: 显示目的ip地址；
　　-e tcp.port: 显示端口号。
　　......还有很多，针对需求，一方面可以自己通过wireshark软件显示的头部字段来猜测，另一方面可以查阅文档，https://www.wireshark.org/docs/dfref/，这里面列出了所有支持的-e字段写法，可以在里面搜索ip、frame上面我们使用的这几个就会搜到。

//2.示例2
　　C:\Users\sdut>tshark -2 -r H:\httpsession.pcap -R "http.request.line || http.file_data || http.response.line" -T fields -e http.request.line -e http.file_data -e http.response.line -E header=y
　　输出：该例子输出http协议的请求头，响应头，和响应数据；
　　http.request.line　　http.file_data　　http.response.line
　　......　　　　　　　　　　......　　　　　　......
　　具体的这个-R过滤写法，可以查看文档，根据自己的需求来。https://wiki.wireshark.org/DisplayFilters

//3.示例3
　　使用windows版本的tshark，抓包存储到本地。每个包只读取1024字节。
　　tshark -w E:/1015.pcap -s 1024 -i 本地连接 -q -F pcap
......

复制代码

5、参考文献

　　tshark官方文档：https://www.wireshark.org/docs/man-pages/tshark.html

　　wireshark wiki：https://wiki.wireshark.org/

　　捕获过滤器 https://wiki.wireshark.org/CaptureFilters

　　显示过滤器，用于display过滤的字段可以通过https://wiki.wireshark.org/DisplayFilters 查询。如果不过滤-e指定的字段数据都会输出，通过-R过滤之后，只有满足规则的才会输出，会因此-R和-T、-e通常会一起使用。

　　统计：https://wiki.wireshark.org/Statistics

时光知味
关注
Wireshark自带的命令行工具使用之capinfos,dumpcap,editcap
村中少年的专栏
01-02 5199
Wireshark自带的命令行工具的使用举例，包括capinfos，dumpcap，editcap.
Wireshark自带命令行工具tshark使用方法
村中少年的专栏
01-03 6458
tshark命令行参数使用方法简介，用于捕获报文和分析数据
tshark命令基本用法
hanyuyy的博客
06-27 3261
tshark -Y "http.request.method == GET：仅显示HTTP请求方法为GET的数据包。-T <output_format>：指定输出格式，将分析结果以不同的格式输出。你可以通过运行"tshark --help"来获取完整的帮助信息，其中包含了所有可用选项和命令的详细说明。例如，-i eth0表示使用eth0接口进行捕获，-i any表示捕获所有可用接口上的数据包。-w <filename>：将捕获到的数据包写入指定的文件中。-V：显示详细的数据包信息，包括各个协议的字段和值。
从0开始学杂项 第八期：流量分析(2) 数据提取
最新发布
CHTXRT的博客
09-03 951
主要内容为如何使用Tshark和Wireshark实现流量文件中复杂数据的提取
Wireshark命令行工具tshark使用小记
zztoll的专栏
02-08 3550
原文地址：http://www.cnblogs.com/liun1994/p/6142505.html Wireshark命令行工具tshark使用小记 1、目的 　　写这篇博客的目的主要是为了方便查阅，使用wireshark可以分析数据包，可以通过编辑过滤表达式来达到对数据的分析；但我的需求是，怎么样把Data部分导出来，因为后续的工作主要针对数据包的Dat
tshark 使用说明
weixin_30951389的博客
12-07 367
yum install -y wireshark 最近才发现，原来wireshark也提供有Linux命令行工具-tshark。tshark不仅有抓包的功能，还带了解析各种协议的能力。下面我们以两个实例来介绍tshark工具。 tshark -s 512 -i eth0 -n -f 'tcp dst port 3306' -R 'mysql.query' -T fields -e m...
tshark 使用技巧
jmhIcoding
06-23 2988
tshark 删除乱序、重传数据包： tshark -2 -R "not tcp.analysis.retransmission && not tcp.analysis.out_of_order" -r 源文件.pcap -w 目标文件名.pcap' tshark 获取tcp流，并保存text格式 tshark -r 源文件.pcap -qz follow,tcp,raw,tcp流的编号 流的编号是0开始的。 其中raw是16进制串表示流的数据： 还可以hex显示，有数据的偏移： t
Tshark的使用问题
qfzhaohan的博客
11-18 903
抓包如果要在线解包的话，tshark或wireshark会把所有数据包缓存起来，所以从原理上来说运行时间越久，抓包越多，所耗费的内存资源也会越多。如果理解不正确，或有好的解决方法欢迎大家帮忙指出。 实际上使用抓包工具都以保存文件的方式居多，如果要在线实时处理，一般都会用perl或python写个小脚本，这就不用受工具本身的限制。不足的就是，协议分析的部分还是需要花一定功夫去实现，不过一般场景下只需要简单分析，问题也就不大了。 喜欢的点个赞，收藏一下吧 ...
wireshark-tshark 命令详解
04-02
### Wireshark与tshark命令详解 #### 一、Wireshark简介 Wireshark是一款非常强大的网络数据包分析工具，前身名为Ethereal。2006年，由于商标问题，Ethereal的主要开发者Gerald Combs离开原团队加入CACE ...
Linux命令行抓包及包解析工具tshark(wireshark)使用实例解析.txt
10-31
### Linux命令行抓包及包解析工具tshark(wireshark)使用实例解析 #### 知识点一：tshark与Wireshark的关系及其安装 - **tshark与Wireshark的关系**： - tshark是Wireshark的一部分，主要用于命令行下进行网络...
wireshark网络安全分析工具之万文多图详解(持续更新)
热门推荐
herosunly的博客
03-16 8万+
1. 基本介绍 2. 下载与安装 3. 详细教程 3.1 软件界面介绍 3.1.1 菜单栏 3.1.2 工具栏 3.1.3 数据包列表区 3.1.4 数据包详细区 3.1.5 数据包字节区 3.2 Wireshark过滤器 3.2.1 捕获过滤器 3.2.2 显示过滤器 3.3 过滤规则 3.3.1 语法讲解 3.3.2 过滤实例 4. 实战案例......
Wireshark自带的命令行工具使用之mergecap,rawshark,reordercap,text2pcap
村中少年的专栏
01-02 6541
Wireshark自带的命令行工具使用mergecap，rawshark，reordercap，text2pcap使用方法简介
wireshark-cli工具Tshark工具使用教程
qq_41167620的博客
05-06 755
tshark为wireshark工具的命令行版本呢， 在服务器版本服务器上，通过tshark工具可以实现和wireshark相同的功能。工具使用wireshark默认配置，对于wireshark一些常用的首选项，也可通过tshark -o [key:value]修改。dumpcap子进程负责数据包捕获并将数据包写入文件，tshark进程负责将文件中的数据包读取后并解密打印到终端。包长度，数量偏移，一些命令，包括pcap文件名称。根据管道返回的文件创建文件的描述符。tshark进程拥有的描述符。
全网第三详细tshark使用帮助
12-11 7943
一 前言tshark作为wireshark的命令行版本，功能非常强大，可以抓包，数据包分析、提取文件、提取分析后的数据还支持各种格式，可以说一把流量分析的瑞士军刀，如果在低流量的场景，包装下tshark命令，就可以做个功能比较丰富的分析系统了，结合检测规则，一个简单点的IDS系统就出来了。二 核心功能2.1 抓包如同tcpdump一样，tshark也可以通过命令行方式进行流量捕获，功能一点也不弱。...
tshark在流量分析中的绝佳应用（超详细）
LainWith的博客
03-28 2万+
目录简介参数tshark与wireshark对比基本命令获取数据包摘要信息显示时间格式捕获过滤器捕获并保存数据包显示过滤器区分显示过滤器和读取过滤器一些好用的显示过滤器-e参数的应用HTTP中的应用案例mysql中的应用案例-z参数的应用专家信息：**-z expert**追踪流：**-z follow**-z http统计数据包信息统计会话统计出所有IP显示每个协议树的具体信息导出对象追踪流追踪tcp流/http流追踪流数量读取TCP流-纯16进制读取TCP流-16进制读取TCP流-ascii获取TCP流
tshark简单应用指令
百尺竿头
05-05 1462
#tshark -i 1 -w /usr/tmp/icmp.cap -f"icmp" -b duration:3
tshark一些常用命令参数解析
nuisthou的博客
09-10 6643
https://www.wireshark.org/docs/man-pages/tshark.html官方阅读文档； 捕获接口: 　　-i: -i <interface> 指定捕获接口，默认是第一个非本地循环接口; 　　-f: -f <capture filter> 设置抓包过滤表达式，遵循libpcap过滤语法，这个实在抓包的过程中过滤，如果是分析本地文件则用不到。 ...
tshark 参数说明
Frank_Good的专栏
01-05 2723
tshark功能详解
u011546911的博客
10-28 4427
Tshark是wireshark的命令行工具，能够无缝地融入linux/windows脚本语言，使嗅探、分析协议的工作变得容易。 基本语法：tshark [ -a ] … [ -b ] … [ -B <capture buffer size (Win32 only)> ] [ -c ] [ -d ==, ] [ -D ] [ -f ] [ -F ] [ -h ] [ -i |- ] [ -l ] [ -L ] [ -n ] [ -N ] [ -o ] … [ -p ] [ -q ]
wireshark命令行
10-17
Wireshark是一个网络协议分析工具，可以通过GUI或命令行使用。在命令行中，可以使用以下命令启动Wireshark： ``` wireshark [选项] [过滤器] ``` 其中，选项包括： - `-i <interface>`：指定要捕获的网络接口。 - `-k`：自动开始捕获数据包。 - `-f <capture filter>`：指定捕获过滤器。 - `-s <snaplen>`：指定每个数据包捕获的最大字节数。 - `-w <filename>`：将捕获的数据包写入文件。 过滤器可以使用Wireshark的过滤器语言来指定，用于过滤捕获的数据包。例如，以下命令将在eth0接口上捕获TCP流量，并将结果写入文件tcp.pcap： ``` wireshark -i eth0 -f "tcp" -w tcp.pcap ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值