wireshark命令行工具tshark

wireshark是我们最常用的抓包和分析数据的工具。但是在Linux服务器中，没有安装图形化界面，想用wireshark抓包就比较困难，本文为大家介绍wireshark的命令抓包工具Tskark。

安装

在Linux中我们可以直接用apt命令安装

apt-get install tshark

安装完如下图

可以用tshark -h测试是否安装成功

命令参数	说明
-i	设置抓包的网络接口，不设置则默认为第一个非自环接口
-f	设定抓包过滤表达式，抓包过滤表达式的写法雷同于tcpdump
-s	设置每个抓包的大小，默认为65535
-a	设置终止条件
-w	设置raw数据的输出文件
-L	列出本机支持的数据链路层协议
-x	在解码输出结果中，每个packet后面以HEX dump的方式显示

使用实例

抓取指定网卡

抓取通过eth0网卡的实时数据包

tshark -i eth0

加上 -V 之后会显示信息的数据包信息，效果如下图

规则过滤

获取22端口的数据

tshark -f 'port 22' -i eth0

抓取来自10.1.1.1的数据流

tshark -f 'src host 10.1.1.1' -i eth0

抓取发到02;0A; 42;23;41;AC的数据流

tshark -f 'ether dst 02;0A;42;23;41;AC' -i eth0

 数据保存

利用-w将抓取到的数据包保存为文件，借助wireshark进行分析

tshark -i eth0 -w test.pcap

 读取文件

利用-r读取保存的抓包文件

tshark -r test.pcap

 本期的抓包工具wireshark的功能就分享到这里啦！欢迎各位小伙伴在评论区一起分享一下。