数据包过滤及分析实例 tshark tcpdump

博客链接: http://codeshold.me/2017/08/tcpdump_tshark_notes.html

平时需要对数据包进行分析和统计，尽管使用python scapy库来开发很方便，但若是熟悉tshark（wireshark的命令行)，tcpdump 等工具，含editcap，mergecap 等，写个简单的shell分析脚本，那会更加方便!

简介

1. tcpdump

   • man tcpdump

2. tshark

   • tshark 是一次性将整个数据包读入内存的，分析好后再统一输出，所以针对超大文件的分析，需要注意！但是和wireshark相比，tshark能分析的文件已经很大了，具体和系统配置有关！
   • 同tshark一起的还有其他工具，是一套的，如 editcap, mergecap, capinfos
   • man tshark, man wireshark-filter, man editcap, man mergecap
   • 一个很棒的网页，自己一直收藏着
     
     • This is a place for scripts and tools related to Wireshark / TShark that users may like to share, and for links to related NetworkTroubleshooting tools.

常用实例

tshark (editcap, capinfos)

• 过滤出特定时间段的数据包

# 过滤出 src.pcap 中 2017-06-17 10:40:00 到 2017-06-17 10:50:00 之间的数据包，其中 -F 参数表示文件格式，即 the file format of the output capture file！ 留意 pcapng 格式的数据包