Linux按ip排序,linux – 查找前5个(根据发送的数据包数)源IP地址

我正在做一项任务,我被要求根据我给出的pcap文件回答某些问题.其中一个问题是找到前5个(根据发送的包数)源IP地址.

我提出了以下命令：

$tshark -r assign1.pcap | sort -n -7 | tail -n 5 | awk '{print $3}'

哪里

> tshark -r读取pcap文件

> assign.pcap是数据包捕获文件

> sort -n -7基于第7列对文件进行排序(此列具有每个ip地址的包长度)

> tail -n 5打印包含最长长度的最后5条记录

> awk'{print $3}仅打印第三列.

现在这是我的问题,因为我需要唯一的前5个源IP地址,所以我试图在脚本的末尾管道uniq命令,但没有帮助.我也尝试使用此link中的sort -u -t,-k3,3,但这也不会打印唯一的IP地址！

我的pcap文件列标题如下所示：

解决方法:

我想如果你使用-T字段重新组织tshark的输出,那就容易多了.我能够完成你想要的东西：

$tshark -r blah.pcap -T fields -e frame.len -e ip.src | sort -k 1n | tail -5

92 10.0.2.2

92 10.0.2.2

92 10.0.2.2

100 10.0.2.15

156 10.0.2.15

tshark领域

您可以使用此命令获取所有字段的列表：

$tshark -G field

* Header Fields

* -------------

* Field 1 = 'F'

* Field 2 = descriptive field name

* Field 3 = field abbreviation

* Field 4 = type (textual representation of the ftenum type)

* Field 5 = parent protocol abbreviation

* Field 6 = base for display (for integer types); "parent bitfield width" for FT_BOOLEAN

* Field 7 = bitmask: format: hex: 0x....

* Field 8 = blurb describing field

如果你勇敢的话,你可以使用这个grep来过滤输出：

$tshark -G fields | grep -P '\s+(ip.src|frame.len)\s+'

F Frame length on the wire frame.len FT_UINT32 frame BASE_DEC 0x0

F Source ip.src FT_IPv4 ip 0x0

参考

标签：linux,shell,tshark,sort,kali-linux

来源： https://codeday.me/bug/20190813/1645869.html