tshark存储数据到mysql_网络分析利器wireshark命令版(2)：tshark使用示例

tshark是wireshark网络分析工具下的一个分支，主要用于命令行环境进行抓包、分析，尤其对协议深层解析时，tcpdump难以胜任的场景中。本系列文章将整理介绍tshark相关内容。

基本用法

常用命令

查看tshark版本

tshark -v

列出当前存在的网络接口

tshark -D

网卡描述依据OS有不同的编号方式，在不了解网络设备及编号情况下，一般先用“tshark -D”查看网络接口的编号以供-i参数使用。

注: linux可以结合ifconfig命令查看

tshark对指定网卡监听，抓包

sudo tshark -i

抓取网卡eth0的流量并写入capture123.pcap

tshark -i eth0 -w capture123.pcap

读取之前的文件capture123.pcap

tshark -i eth0 -r capture123.pcap

抓取网卡eth0的流量10分钟

tshark -i eth0 -a duration:600

注: 默认时间单位为秒

抓取网卡eth0的10000个数据包

tshark -c 10000 -i eth0

抓取网卡eth0涉及192.168.1.1的流量报文

tshark -i eth0 -f “host 192.168.1.1”

注: 与wireshark、tcpdump一致，均使用BPF过滤表达式

抓取网卡eth0指定协议的流量报文

tshark -i eth0 -f “”

协议名可以为： tcp, udp, dns, icmp, http等

案例