wireshark、tcpdump常用命令--去重、抓包、过滤

1、tcpdump抓包去重

editcap -d 123.pcap filter.pcap
其中 123.pcap是要去重的包，filter.pcap是输出的去重之后的包

1.、合并打包
		mergecap.exe -w merg.pcap d:\*

2、过滤sip消息

	1、过滤所有invite的响应消息
		tshark -r quchong.pcap -Y "sip.CSeq.method eq INVITE"  -w gliu.pcap
	2、过滤所有sip消息
		tshark -r quchong.pcap -Y "sip"  -w gliu.pcap
	3、查看所有rtp（效果如图）
		tshark -r quchong.pcap -q -z rtp,streams

3、tcpdump常用抓包命令

tcpdump -s 0 --i bond1 --buffer-size=1209600 -X -w 123.pcap
其中 -s 代表不限制单个包的大小
-buffer-size 代表 将操作系统捕获缓冲区大小设置为buffer_size 40960，单位为KiB（1024字节）。
-i 指定哪张网卡
-X    当分析和打印时, tcpdump 会打印每个包的头部数据, 同时会以16进制和ASCII码形式打印出每个包的数据(但不包括连接层的头部).这对于分析一些新协议的数据包很方便.
-w 保存到指定文件 123.pcap

tcpdump -B 409600 -i any port 5060 or port 55066 or port 5071 or port 5066 or port 5080 or ‘ip[6:2] & 0x3fff != 0’ -C 100M -w 123.pcap
‘ip[6:2] & 0x3fff != 0’ 这个代表把分包也给抓了