tshark的抓包和解析,使用命令行案例

https://www.cnblogs.com/classics/p/10417419.html

a、解析dhcp抓包文件

-r 读抓好的数据包文件

tshark -r 数据包路径 -Y 过滤条件   基本上可以运用 wirshark上的过滤条件

查找中继后dhcp discover src ip 报文

tshark  -r E:\testpacket\testdhcp.pcapng -Y "bootp && ip.src == 192.168.108.1 && bootp.option.dhcp == 1"

查看dhcp discover srcmac 报文

tshark  -r E:\testpacket\testdhcp.pcapng -Y "bootp && bootp.hw.mac_addr == 00:0c:29:b7:56:f3 && bootp.option.dhcp == 1"

查看dhcp offer 报文

tshark  -r E:\testpacket\testdhcp.pcapng -Y "bootp && ip.src == 192.168.111.1 && bootp.hw.mac_addr == 00:0c:29:b7:56:f3 && bootp.option.dhcp == 2"

查看dhcp request报文

tshark  -r E:\testpacket\testdhcp.pcapng -Y "bootp && bootp.hw.mac_addr == 00:0c:29:b7:56:f3 && bootp.option.dhcp == 3"

查看dhcp ack报文

tshark  -r E:\testpacket\testdhcp.pcapng -Y "bootp && bootp.hw.mac_addr == 00:0c:29:b7:56:f3 && bootp.option.dhcp == 5"

b、解析tftp

查看tftp 69端口 针对 文件名字 cm.cfg 请求：

tshark -r E:\cm_online.pcapng -Y "tftp && udp.dstport == 69 && tftp.source_file == "cm.cfg""

查看server回复ack报文：

tshark -r E:\cm_online.pcapng -Y "tftp && tftp.opcode == 6 && ip.src == 192.168.111.1"

查看server发送数据报文的请求信息：

tshark -r E:\cm_online.pcapng -Y "tftp && data.len && tftp.source_file == "cm.cfg""

tshark -r E:\cm_online.pcapng -Y "tftp && frame.protocols == "eth:ethertype:ip:udp:tftp:data" && tftp.source_file == "cm.cfg""

2、查看网卡

tshark -D

3、抓包

tshark -i 网卡 -f "过滤选项" -a duration:抓包时间

tshark -i wk106 -f "icmp"  -a duration:5

windows 网卡的名字是定义的名字的  就是 -D 看到的括号的名字

抓包网口 vlan1002-sw4  10s钟 保存到 E:\testpacket\234.pcapng

tshark -i vlan1002-sw4 -a duration:10 -w E:\testpacket\234.pcapng

-c  捕获包个数

tshark -i wk106 -f "icmp"  -c 1

4、抓包就打印到界面上 实时打印

-T -e 只是打印这个字段

tshark -i wk106 -f "icmp"  -c 1 -T fields -e "icmp"

tshark -i wk106 -f "icmp"  -a duration:5 -T fields -e "icmp"

-T -e 只是打印这两个个字段

tshark -i wk106 -f "icmp"  -c 1 -T fields -e "icmp" -e "eth.dst"

tshark -i wk106 -f "icmp"  -a duration:5 -T fields -e "icmp" -e "eth.dst"

抓包 vlan 的数据

tshark -i wk106 -f "vlan"  -c 10  -T fields -e "eth.src" -e"vlan"