【linux】 tshark

最新推荐文章于 2024-08-05 07:00:50 发布

flyoutsan

最新推荐文章于 2024-08-05 07:00:50 发布

阅读量2.4k

点赞数 1

分类专栏： Linux 文章标签： tshark wireshark 抓包

本文链接：https://blog.csdn.net/flyoutsan/article/details/53637175

版权

Linux 专栏收录该内容

3 篇文章 0 订阅

订阅专栏

前言

最近需要写一个抓包分析的脚本，用于抓包分析的图形化有wireshark、snort等，命令行有tshark、tcpdump、dumpcap，tshark为wireshark的命令行模式，由于对wireshark相对熟悉，以及对于其比较满意，所以最终选择tshark。

正题

首先看下用法tshark [ -2 ] [ -a <capture autostop condition> ] ... [ -b <capture ring buffer option>] ... [ -B <capture buffer size> ] [ -c <capture packet count> ] [ -C <configuration profile> ][ -d <layer type>==<selector>,<decode-as protocol> ] [ -D ] [ -e <field> ] [ -E <field print option> ] [ -f <capture filter> ] [ -F <file format> ] [ -g ] [ -h ] [ -H <input hosts file> ][ -i <capture interface>|- ] [ -I ] [ -K <keytab> ] [ -l ] [ -L ] [ -n ] [ -N <name resolving flags> ] [ -o <preference setting> ] ... [ -O <protocols> ] [ -p ] [ -P ] [ -q ] [ -Q ] [ -r <infile> ][ -R <Read filter> ] [ -s <capture snaplen> ] [ -S <separator> ] [ -t a|ad|adoy|d|dd|e|r|u|ud|udoy ] [ -T fields|pdml|ps|psml|text ] [ -u <seconds type>] [ -v ] [ -V ] [ -w <outfile>|- ][ -W <file format option>] [ -x ] [ -X <eXtension option>] [ -y <capture link type> ] [ -Y <displaY filter> ] [ -z <statistics> ] [ --capture-comment <comment> ] [ <capture filter> ]

tshark -G [ <report type> ]

放眼望上去，option多到爆炸。不过，毕竟是命令行，要实现图形化的功能自然只有增加选项，这里仅解析一些重要、常用的options,详细参数可以查看官网文档https://www.wireshark.org/docs/man-pages/tshark.html，该文章也总结的较好，可供参考，https://www.wireshark.org/docs/man-pages/tshark.html。

-i <capture interface> 指定要抓取的网络接口，譬如说WLAN、eth0、Bluetooth0、vboxnet0等，不指定默认为第一个非lo接口。

-D 显示接口列表

-f <capture filter> 指定抓取过滤规则，规则与tcpdump等相同，相当于wireshark 中的Caption Options相同。譬如说要对来自或去往192.168.1.1的包进行过滤，只要指定规则为"host 192.168.1.1"即可。

-2 -R <Read filter> two-pass解析，指定读取过滤规则，相当于wireshark中的filter。

-Y <-Y <displaY filter> single-pass解析，指定读取过滤规则，相当于wireshark中的filter。

-z <statistics> 指定统计参数。

-V 打印包的细节，即解析为wireshark中看到的协议的具体分析。

-x 打印包的assic和hex码

-v 显示tshark的版本号然后退出。

-w <outfile> 将原始结果（即未解析的结果）输出到指定文件中。

-F <filter> 指定输出文件格式

-r <filename> 从文件中读取，一般结合-V参数进行解析。

-b 设置ring buffer文件参数。ring buffer的文件名由-w参数决定。-b参数采用test:value的形式书写。“-b duration:5”表示每5秒写下一个ring buffer文件；“-b filesize:5”表示每达到5kB写下一个ring buffer文件；“-b files:7”表示ring buffer文件最多7个，周而复始地使用，如果这个参数不设定，tshark会将磁盘写满为止。

-p 不使用混杂模式，即只抓取与本机相关的包。