tshark 使用技巧

tshark 删除乱序、重传数据包：

tshark -2 -R "not tcp.analysis.retransmission && not tcp.analysis.out_of_order" -r 源文件.pcap -w 目标文件名.pcap'

tshark 获取tcp流，并保存text格式

tshark -r 源文件.pcap -qz follow,tcp,raw,tcp流的编号

流的编号是0开始的。

其中raw是16进制串表示流的数据：

还可以hex显示，有数据的偏移：

tshark获取TCP流，并保存为pcap文件

tshark -2 -R "tcp.stream eq 0" -r 源文件.pcap -w 目标文件名.pcap

-R “xxx” 里面的过滤规则其实就是wireshark里面写的过滤规则。

tshark获取UDP流

方法同tcp流的处理方式，只不过把命令里面的所以“tcp”，改成“udp” 。

tshark获取所有的tcp流的ID

tshark.exe -r .\1592690823_clear.pcap -Tfields -e tcp.stream

对输出结果排序，就可以拿到最大的tcp.stream ID了。

tshark获取所有udp流的ID

方法同tcp流的ID获取方式，把tcp改成udp就可以。