命令行工具tshark使用小记

1、目的

　　写这篇博客的目的主要是为了方便查阅，使用wireshark可以分析数据包，可以通过编辑过滤表达式来达到对数据的分析；但我的需求是，怎么样把Data部分导出来，因为后续的工作主要针对数据包的Data部分，主要是对本地存储的.pcap文件进行解析。这时候就会使用到tshark命令行工具，可以通过命令提取自己想要的数据，可以重定向到文件，也可以结合上层语言比如Java，来调用命令行，实现对数据的处理！

　　下面我会从 相关实例、选项介绍、部分实例运行结果 进行概括!

2、首先我们先来看一下网上的一些例子，我对这些例子进行了整理，并给出了说明。

复制代码
//打印http协议流相关信息
tshark -s 512 -i eth0 -n -f 'tcp dst port 80' -R 'http.host and http.request.uri' -T fields -e http.host -e http.request.uri -l | tr -d '\t' 　　注释： 　　　　-s: 只抓取前512字节； 　　　　-i: 捕获eth0网卡； 　　　　-n: 禁止网络对象名称解析; 　　　　-f: 只捕获协议为tcp,目的端口为80; 　　　　-R: 过滤出http.host和http.request.uri; 　　　　-T,-e: 指的是打印这两个字段; 　　　　-I: 输出到命令行界面; //实时打印当前mysql查询语句 tshark -s 512 -i eth0 -n -f 'tcp dst port 3306' -R 'mysql.query' -T fields -e mysql.query 　　　注释: 　　　　-R: 过滤出mysql的查询语句; //导出smpp协议header和value的例子 tshark -r test.cap -R '(smpp.command_id==0x80000004) and (smpp.command_status==0x0)' -e smpp.message_id -e frame.time -T fields -E header=y >test.txt 　　　注释:
　　　　-r: 读取本地文件，可以先抓包存下来之后再进行分析;
　　　　-R: smpp...可以在wireshark的过滤表达式里面找到，后面会详细介绍;
　　　　-E: 当-T字段指定时，设置输出选项，header=y意思是头部要打印;
　　　　-e: 当-T字段指定时，设置输出哪些字段;
　　　　 >: 重定向; //统计http状态 tshark -n -q -z http,stat, -z http,tree
　　　注释:
　　　　-q: 只在结束捕获时输出数据，针对于统计类的命令非常有用;
　　　　-z: 各类统计选项，具体的参考文档，后面会介绍，可以使用tshark -z help命令来查看所有支持的字段; 　　　　　　 http,stat: 计算HTTP统计信息，显示的值是HTTP状态代码和HTTP请求方法。
　　　　　　 http,tree: 计算HTTP包分布。 显示的值是HTTP请求模式和HTTP状态代码。 //抓取500个包提取访问的网址打印出来 tshark -s 0 -i eth0 -n -f 'tcp dst port 80' -R 'http.host and http.request.uri' -T fields -e http.host -e http.request.uri -l -c 500 　　　注释: 
　　　　-f: 抓包前过滤；
　　　　-R: 抓包后过滤；
　　　　-l: 在打印结果之前清空缓存;
　　　　-c: 在抓500个包之后结束; //显示ssl data数据 tshark -n -t a -R ssl -T fields -e "ip.src" -e "ssl.app_data"
 //读取指定报文,按照ssl过滤显示内容 tshark -r temp.cap -R "ssl" -V -T text
　　注释: 
　　　　-T text: 格式化输出，默认就是text;
　　　　-V: 增加包的输出;//-q 过滤tcp流13，获取data内容 tshark -r temp.cap -z "follow,tcp,ascii,13" //按照指定格式显示-e tshark -r temp.cap -R ssl -Tfields -e "ip.src" -e tcp.srcport -e ip.dst -e tcp.dstport //输出数据 tshark -r vmx.cap -q -n -t ad -z follow,tcp,ascii,10.1.8.130:56087,10.195.4.41:446 | more 　　注释:
　　　　-t ad: 输出格式化时间戳; //过滤包的时间和rtp.seq tshark -i eth0 -f "udp port 5004" -T fields -e frame.time_epoch -e rtp.seq -o rtp.heuristic_rtp:true 1>test.txt
　　注释:
　　　　-o: 覆盖属性文件设置的一些值;
 //提取各协议数据部分 tshark -r H:/httpsession.pcap -q -n -t ad -z follow,tcp,ascii,71.6.167.142:27017,101.201.42.120:59381 | more
复制代码

上面的例子已经涵盖了大部分的选项，下面我针对每一个选项进行简要解释，并给出这个选项常用的值；

3、选项介绍

　　在命令行下可以使用tshark -help得到选项的简单介绍，具体的需要查阅官方文档https://www.wireshark.org/docs/man-pages/tshark.html

复制代码
捕获接口:-i: -i <interface> 指定捕获接口，默认是第一个非本地循环接口;-f: -f <capture filter> 设置抓包过滤表达式，遵循libpcap过滤语法，这个实在抓包的过程中过滤，如果是分析本地文件则用不到。-s: -s <snaplen> 设置快照长度，用来读取完整的数据包，因为网络中传输有65535的限制，值0代表快照长度65535，默认也是这个值；-p: 以非混合模式工作，即只关心和本机有关的流量。-B: -B <buffer size> 设置缓冲区的大小，只对windows生效，默认是2M;-y: -y<link type> 设置抓包的数据链路层协议，不设置则默认为-L找到的第一个协议，局域网一般是EN10MB等; 　　-D: 打印接口的列表并退出; 　　-L 列出本机支持的数据链路层协议，供-y参数使用。 捕获停止选项: 　　-c: -c <packet count> 捕获n个包之后结束，默认捕获无限个; 　　-a: -a <autostop cond.> ... duration:NUM，在num秒之后停止捕获; 　　　　　　　　　　　　　　　　　　 filesize:NUM，在numKB之后停止捕获; 　　　　　　　　　　　　　　　　　 files:NUM，在捕获num个文件之后停止捕获; 捕获输出选项: 　　-b <ringbuffer opt.> ... ring buffer的文件名由-w参数决定,-b参数采用test:value的形式书写; 　　　　　　　　　　　　　　　　 duration:NUM - 在NUM秒之后切换到下一个文件; 　　　　　　　　　　　　　　　　 filesize:NUM - 在NUM KB之后切换到下一个文件; 　　　　　　　　　　　　　　　　 files:NUM - 形成环形缓冲，在NUM文件达到之后; RPCAP选项: 　　remote packet capture protocol，远程抓包协议进行抓包； 　　-A: -A <user>:<password>,使用RPCAP密码进行认证; 输入文件: 　　-r: -r <infile> 设置读取本地文件 处理选项: 　　-2: 执行两次分析 　　-R: -R <read filter>,包的读取过滤器，可以在wireshark的filter语法上查看；在wireshark的视图->过滤器视图，在这一栏点击表达式，就会列出来对所有协议的支持。 　　-Y: -Y <display filter>,使用读取过滤器的语法，在单次分析中可以代替-R选项; 　　-n: 禁止所有地址名字解析（默认为允许所有） 　　-N: 启用某一层的地址名字解析。“m”代表MAC层，“n”代表网络层，“t”代表传输层，“C”代表当前异步DNS查找。如果-n和-N参数同时存在，-n将被忽略。如果-n和-N参数都不写，则默认打开所有地址名字解析。 　　-d: 将指定的数据按有关协议解包输出,如要将tcp 8888端口的流量按http解包，应该写为“-d tcp.port==8888,http”;tshark -d. 可以列出所有支持的有效选择器。 　　 输出选项: 　　-w: -w <outfile|-> 设置raw数据的输出文件。这个参数不设置，tshark将会把解码结果输出到stdout,“-w -”表示把raw输出到stdout。如果要把解码结果输出到文件，使用重定向“>”而不要-w参数。 　　-F: -F <output file type>,设置输出的文件格式，默认是.pcapng,使用tshark -F可列出所有支持的输出文件类型。 　　-V: 增加细节输出; 　　-O: -O <protocols>,只显示此选项指定的协议的详细信息。 　　-P: 即使将解码结果写入文件中，也打印包的概要信息； 　　-S: -S <separator> 行分割符 　　-x: 设置在解码输出结果中，每个packet后面以HEX dump的方式显示具体数据。 　　-T: -T pdml|ps|text|fields|psml,设置解码结果输出的格式，包括text,ps,psml和pdml，默认为text 　　-e: 如果-T fields选项指定，-e用来指定输出哪些字段; 　　-E: -E <fieldsoption>=<value>如果-T fields选项指定，使用-E来设置一些属性，比如 　　　　header=y|n 　　　　separator=/t|/s|<char> 　　　　occurrence=f|l|a 　　　　aggregator=,|/s|<char> 　　-t: -t a|ad|d|dd|e|r|u|ud 设置解码结果的时间格式。“ad”表示带日期的绝对时间，“a”表示不带日期的绝对时间，“r”表示从第一个包到现在的相对时间，“d”表示两个相邻包之间的增量时间（delta）。 　　-u: s|hms 格式化输出秒； 　　-l: 在输出每个包之后flush标准输出 　　-q: 结合-z选项进行使用，来进行统计分析； 　　-X: <key>:<value> 扩展项，lua_script、read_format，具体参见 man pages； 　　-z：统计选项，具体的参考文档;tshark -z help,可以列出，-z选项支持的统计方式。 　　 其他选项: 　　-h: 显示命令行帮助； 　　-v: 显示tshark 的版本信息;
复制代码

 4、部分命令测试

　　在第三节我简要介绍了tshark相关的命令，在这一节我们主要测试几个选项的输出结果，来对命令加深理解。对于第三节的命令选项，比较重要的已经用蓝色标出，方便查阅。

　　使用tshark对数据包进行分析，主要是对过滤器的学习，根据自己的需求写出响应的过滤器，来得到相应的数据。

　　针对于我的需求，先抓包在分析，还想将命令行整合进java语言中，然后进行面向对象的分析，那么就需要一些特别的命令来获取一些数据：

复制代码
//1. 示例1，分析报文封装的协议C:\Users\sdut>tshark -r H:\httpsession.pcap -T fields -e frame.number -e frame.protocols -E header=y--输出　　frame.number    frame.protocols1       eth:ethertype:ip:tcp2       eth:ethertype:ip:tcp3       eth:ethertype:ip:tcp4       eth:ethertype:ip:tcp:http5       eth:ethertype:ip:tcp6       eth:ethertype:ip:tcp:http:data-text-lines7       eth:ethertype:ip:tcp8       eth:ethertype:ip:tcp9       eth:ethertype:ip:tcp-e frame.number：显示帧序号-e frame.time: 显示时间，时间格式为 Sep 21, 2016 17:20:02.233249000 中国标准时间 -e frame.protocols: 显示此数据包使用的协议-e ip.src: 显示源ip，但是不能跟frame一起用-e ip.dst: 显示目的ip地址；-e tcp.port: 显示端口号。......还有很多，针对需求，一方面可以自己通过wireshark软件显示的头部字段来猜测，另一方面可以查阅文档，https://www.wireshark.org/docs/dfref/，这里面列出了所有支持的-e字段写法，可以在里面搜索ip、frame上面我们使用的这几个就会搜到。

//2.示例2C:\Users\sdut>tshark -2 -r H:\httpsession.pcap -R "http.request.line || http.file_data || http.response.line" -T fields -e http.request.line -e http.file_data -e http.response.line -E header=y输出：该例子输出http协议的请求头，响应头，和响应数据；http.request.line　　http.file_data　　http.response.line 　　......　　　　　　　　　　......　　　　　　...... 　　具体的这个-R过滤写法，可以查看文档，根据自己的需求来。https://wiki.wireshark.org/DisplayFilters //3.示例3 　　使用windows版本的tshark，抓包存储到本地。每个包只读取1024字节。 　　tshark -w E:/1015.pcap -s 1024 -i 本地连接 -q -F pcap ......
复制代码

5、参考文献

　　tshark官方文档：https://www.wireshark.org/docs/man-pages/tshark.html

　　wireshark wiki：https://wiki.wireshark.org/

　　捕获过滤器 https://wiki.wireshark.org/CaptureFilters

　　显示过滤器，用于display过滤的字段可以通过https://wiki.wireshark.org/DisplayFilters 查询。如果不过滤-e指定的字段数据都会输出，通过-R过滤之后，只有满足规则的才会输出，会因此-R和-T、-e通常会一起使用。

　　统计：https://wiki.wireshark.org/Statistics

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/385056.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

winshark重要数据结构

winshark重要数据结构

说起来有一些惭愧&#xff0c;研究wireshark有一段时间了&#xff0c;但是对源代码的分析却至今没有什么进展。。。 最初想要研究wireshark是因为我的开题是基于wireshark来做的。 现在有很多抓包工具&#xff0c;wireshark的优势在于完全开源&#xff0c;分析功能强大&#xf…
阅读更多...
C语言写数据库（二）

C语言写数据库（二）

简单的实现增删查改的操作后&#xff0c;实现了一个先读写其中一个表的某两项内容&#xff0c;再把相关字符段写入到另外一张表中去。涉及到查询和插入两个步骤。 其中还涉及到汉字的读写和插入&#xff0c;会有字符的操作产生乱码。所以要先保证mysql的汉字字符编码&#xff0…
阅读更多...
wireshark源代码分析

wireshark源代码分析

各位亲&#xff0c;不是我不想回复你们的问题。是我也不了解。不能误导。希望大家相互帮助。看看能否帮那些提问的小盆友们回复一下呢&#xff1f; 这些都是转载的&#xff0c;如果实在没有办法&#xff0c;可以打开链接到原作者哪里去提问试试看。。。 经过多次尝试&#xf…
阅读更多...
C语言写数据库（三）

C语言写数据库（三）

遇到的问题以及解决思路方法 1.外部导入数据库文件 进入mysql&#xff0c;创建数据库sh_robot source /home/exbot/sh_robot.sql 查看数据库编码格式 show variables like “%char%”; 2.数据库插入操作 进入相关数据库&#xff1a;use 数据库名&#xff1b; 查询存在该表是否存…
阅读更多...
Makefile（一）

Makefile（一）

在一个文件夹中建一个c文件 //main.c #include<stdio.h> int main() {printf("version 1.0");return 0; } 在当前目录下编写makefile文件 //makefile: test : main.o //一种依赖关系声明&#xff0c;生成test可执行程序需要以来main.o文件gcc -o test main.…
阅读更多...
Defunct进程 僵尸进程

Defunct进程 僵尸进程

在测试基于 DirectFBGstreamer 的视频联播系统的一个 Demo 的时候&#xff0c;其中大量使用 system 调用的语句&#xff0c;例如在 menu 代码中的 system("./play") &#xff0c;而且多次执行&#xff0c;这种情况下&#xff0c;在 ps -ef 列表中出现了大量的 defunc…
阅读更多...
make文件基础用法

make文件基础用法

参照&#xff1a;https://www.jianshu.com/p/0b2a7cb9a469 创建工作目录&#xff0c;包含一下文件 main.cperson.cb.hc.h/*** c.h ***/ //this is c.h /*** b.h ***/ //this is b.h /*** main.c ***/ #include<stdio.h> //#include"a1.h" //#include"b.h&…
阅读更多...
一个Linux下C线程池的实现(转)

一个Linux下C线程池的实现(转)

1.线程池基本原理 在传统服务器结构中, 常是 有一个总的 监听线程监听有没有新的用户连接服务器, 每当有一个新的 用户进入, 服务器就开启一个新的线程用户处理这 个用户的数据包。这个线程只服务于这个用户 , 当 用户与服务器端关闭连接以后, 服务器端销毁这个线程。然而频繁地…
阅读更多...
二维数组作为函数参数

二维数组作为函数参数

#include<stdio.h> //#include<> //二位数组作为函数参数时&#xff0c;可以不指定第一个下标 void print_buf(int (*p)[3],int a,int b) //void print_buf(int p[][3],int a,int b) {int i,j;for(i 0 ; i < a; i){for(j 0; j < b; j){printf("p[%…
阅读更多...
mystrcat

mystrcat

#include<stdio.h> //如果一个数组做为函数的形参传递&#xff0c;那么数组可以在被调用的函数中修改 //有时候不希望这个事发生&#xff0c;所以对形参采用const参数 //size_t strlen(const char *s); //strcpy(char* s1,const char* s2); void mystrcat(char *s1,cons…
阅读更多...
关于非阻塞的recv的时候返回的处理

关于非阻塞的recv的时候返回的处理

注意recv&#xff08;&#xff09;如果读到数据为0&#xff0c;那么就表示文件结束了&#xff0c;如果在读的过程中遇到了中断那么会返回-1&#xff0c;同时置errno为EINTR。 因此判断recv的条件&#xff1a; 如果read返回<0 如果0 表示文件结束&…
阅读更多...
带参程序

带参程序

windows环境 #include<stdio.h>int main(int argc, char *argv[]) {printf("argc %d\n", argc);for (int i 0; i < argc; i){printf("argv[%d] %s\n",i, argv[i]);}system("pause");return 0; } windows环境下&#xff0c;带参函数…
阅读更多...
Ubuntu安装mysql步骤

Ubuntu安装mysql步骤

1.打开终端&#xff0c;输入&#xff1a; sudo apt-get updata 输入root用户密码 2.更新完毕后&#xff0c;输入 sudo apt-get install mysql-server ubuntu14.04安装中间会让你设置密码&#xff0c;输入密码后点击确认(mysql123) 3.安装结束后&#xff0c;查看端口号是否开启 …
阅读更多...
Pthread创建线程后必须使用join或detach释放线程资源

Pthread创建线程后必须使用join或detach释放线程资源

这两天在看Pthread 资料的时候&#xff0c;无意中看到这样一句话(man pthread_detach): Either pthread_join(3) or pthread_detach() should be called for each thread that an application creates, so that system resources for the thread can be released. …
阅读更多...
二维数组求平均值（指针的使用）

二维数组求平均值（指针的使用）

#include<stdio.h>int main() {int buf[3][5] {{1,2,3,4,5},{4,5,6,7,8},{7,8,9,10,11}};int i;int j;//求行平均值 for(i 0; i < 3; i){int sum 0;for(j 0; j < 5; j){sum (*(*(buf i) j));}printf("sum %d\n",sum/5);}//求列平均值for(i 0; i …
阅读更多...
linux终端关闭时为什么会导致在其上启动的进程退出？

linux终端关闭时为什么会导致在其上启动的进程退出？

现象 经常在linux下开发的人应该都有这样的经验&#xff0c;就是在终端上启动的程序&#xff0c;在关闭终端时&#xff0c;这个程序的进程也被一起关闭了。看下面这个程序&#xff0c;为了使进程永远运行&#xff0c;在输出helloworld后&#xff0c;循环调用sleep&#xff1a; …
阅读更多...
二维数组做函数参数传递

二维数组做函数参数传递

#include<stdio.h> //#include<> //二位数组作为函数参数时&#xff0c;可以不指定第一个下标 void print_buf(int (*p)[3],int a,int b) //void print_buf(int p[][3],int a,int b) {int i,j;for(i 0 ; i < a; i){for(j 0; j < b; j){printf("p[%…
阅读更多...
libevent源码深度剖析

libevent源码深度剖析

第一章 1&#xff0c;前言 Libevent是一个轻量级的开源高性能网络库&#xff0c;使用者众多&#xff0c;研究者更甚&#xff0c;相关文章也不少。写这一系列文章的用意在于&#xff0c;一则分享心得&#xff1b;二则对libevent代码和设计思想做系统的、更深层次的分析&#xff…
阅读更多...
函数返回指针类型（strchr函数）

函数返回指针类型（strchr函数）

#include<stdio.h> #include<string.h> char *mystrchr(char *s,char c) {while(*s){if(*s c){return s;}s;}return NULL; }int main() {char str[100] "hello world";//char* s strchr(str,a);char *s mystrchr(str,e);//返回ello world字符串 prin…
阅读更多...
函数与指针

函数与指针

#include<stdio.h>int add(int a,int b) {return ab; }int main() {void *p(int,char *); //声明了一个函数 &#xff0c;函数名为p&#xff0c;函数返回值为void*,函数的 void (*p)(int,char *);//定义了一个指向参数为int和char*返回值为void的函数指针//定义一个参数为…
阅读更多...
最新文章

Copyright @ 2022~2023