tshark分析流（wireshark导出大包时有BUG）

最新推荐文章于 2025-10-31 05:06:11 发布
原创 最新推荐文章于 2025-10-31 05:06:11 发布 · 1.4k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文介绍如何使用Wireshark的follow TCP stream功能及tshark命令，将选定的TCP流导出为bin文件进行字节级对比。尽管导出过程中存在ASCII格式的换行符干扰，但通过合理比较，仍能有效验证数据一致性。

在wireshark中follow tcp stream之后，选择export speified packets导出该stream的全部包到文件。

导出文件配置出下图：

然后用下面的命令导出stream的字节流：

tshark -r t1.pcap -Y usb -z follow,tcp,raw,0  > t1.bin

tshark位于wireshark的安装目录中。

然后就可以用beyond compare的16进制方式比较两边的bin文件

字节有零散出现的0d 0a，这是因为tshark导出的是ascii方式的hex stream，伴随大量换行，不影响比较结果，忽略即可。

EasyTshark网络数据包捕获与分析工具_基于tshark的实时抓包与离线分析系统_支持SQLite存储与XMLJSON格式转换_集成IP地理位置解析与多条件查询功能_适用于网.zip
08-30
EasyTshark网络数据包捕获与分析工具_基于tshark的实时抓包与离线分析系统_支持SQLite存储与XMLJSON格式转换_集成IP地理位置解析与多条件查询功能_适用于网.zip
wireshark特定rtp分组导出步骤
11-17
使用Wireshark快速导出特定ssrc的rtp分组，http://wiki.wireshark.org/Development/LibpcapFileFormat
Wireshark自定义协议字段显示长度：截断配置
最新发布
gitblog_00297的博客
10-31 316
在网络协议分析中，过长的字段值（如长字符串、二进制数据）会导致Wireshark协议树显示混乱，影响分析效率。本文将详细介绍如何通过自定义协议字段的显示长度截断配置，解决这一痛点。完成阅读后，你将掌握字段长度控制的核心方法，包括字段类型选择、显示基数配置和高级截断技巧，适用于各类自定义协议开发场景。 ## 字段类型与显示长度基础 Wireshark通过字段类型（FT_*）和显示基数（BASE_...
利用tshark对网络数据包做进一步的分析
无法落地的技术、理论就是耍流氓--赢在实践
11-12 8799
在性能测试或者对大量网络数据包做数据分析的时候，考人工方法显然行不通，研究调用wireshark 的API对数据包进行分析，太难。放弃了这条路。发现tshark可以直接过滤数据包导出你需要的header和 value, 生成到文本文件里面，可以写个脚步对网络数据包进一步的分析。下面是导出smpp 协议header和value的例子。 tshark-rtest.cap-R'(smp
Wireshark命令行工具tshark使用小记
zztoll的专栏
02-08 3733
原文地址：http://www.cnblogs.com/liun1994/p/6142505.html Wireshark命令行工具tshark使用小记 1、目的 　　写这篇博客的目的主要是为了方便查阅，使用wireshark可以分析数据包，可以通过编辑过滤表达式来达到对数据的分析；但我的需求是，怎么样把Data部分导出来，因为后续的工作主要针对数据包的Dat
wireshark保存文件集-解决pcap文件过大，打开极慢的问题
刘贝斯老师的博客
03-14 9926
如果我们需要长时间抓包，或者抓包接口的流量非常大，保存为一个pcap文件的话，那么该文件就会极大，打开也极慢，过滤和查询更新。将wireshark抓不到的数据包保存到一个文件集就可以完美解决这个问题啦。 下面通过一个配置举例来看 需求 通过wireshark抓包，一秒钟保存一个文件，保存5个文件后停止抓包（因为数据中心的网络一秒的流量就有几个G ~！） 位置：capture > optio...
WireShark数据对象导出分析方法
Fly_鹏程万里
10-20 8550
网络安全是当今互联网时代中不可忽视的问题，随着网络技术的不断发展，网络攻击手段也变得越来越复杂和隐蔽，因此网络安全工作者需要具备一定的技术能力和工具使用能力，其中WireShark是一款广泛使用的网络协议分析工具，可以帮助用户深入了解网络数据包的传输过程，从而提高网络安全防护的能力。本文将介绍WireShark的对象导出功能，帮助读者更好地利用这一功能进行网络数据包分析和安全防护工作。
使用 TCPdump、TShark 和 Wireshark 捕获非空 TCP 包
qq_45831414的博客
08-18 850
TCPdump：一个开源的命令行工具，用于监听网络接口上的数据包并根据过滤规则捕获数据。TShark：Wireshark 的命令行版本，支持更复杂的过滤器和解析选项。Wireshark：一个图形界面的网络协议分析器，提供丰富的数据包分析功能。通过上述方法，您可以有效地捕获非空的 TCP 数据包，这对于网络故障排查和性能分析非常有帮助。希望这篇笔记能为您提供有用的指导！
wireshark-cli工具Tshark工具使用教程
qq_41167620的博客
05-06 1176
tshark为wireshark工具的命令行版本呢， 在服务器版本服务器上，通过tshark工具可以实现和wireshark相同的功能。工具使用wireshark默认配置，对于wireshark一些常用的首选项，也可通过tshark -o [key:value]修改。dumpcap子进程负责数据包捕获并将数据包写入文件，tshark进程负责将文件中的数据包读取后并解密打印到终端。包长度，数量偏移，一些命令，包括pcap文件名称。根据管道返回的文件创建文件的描述符。tshark进程拥有的描述符。
使用wireshark的tshark工具把pcap导出csv格式
热门推荐
gugu1313的专栏
07-15 1万+
.pcap文件是二进制格式的网络轨迹（Network trace）文件，记录了网络通信过程的数据包信息。csv(comma separated values)是一种用逗号','分隔的文本文件，类似于excel文件。 .pcap文件是二进制文件，需要从中提取信息并以csv的格式进行存储。可以使用tshark实现对.pcap文件进行分析。 例如，从.pcap文件中提取数据包的mac地址
Wireshark - tshark支持iptables提供数据包
qq_41167620的博客
07-01 905
cf_init_iptables接口完成初始化工作，cf是全局的数据，数据包信息，数据包状态相关，比如处理多少，丢掉多少，提供的解码工具等外来数据。其中第一个条件if (cf_name)这里是读文件的形式，使用是通过-r *.pcap判断的，第二个else位置，里面是capture用来监听网口通过-I eth0使用。//绑定上我们创建的队列。running_get_pkt_from_nfqueue0接口完成iptables初始化，创建接收队列数据包的回调，将数据包接入到tshrak的解密解码逻辑。
Wireshark自带命令行工具tshark使用方法
村中少年的专栏
01-03 7172
tshark命令行参数使用方法简介，用于捕获报文和分析数据
TShark 批量转换数据包格式
u011186532的专栏
09-21 1892
本文主要是介绍TShark转换格式的命令，以及如何使用bat脚本进行批量处理。
导出 wireshark 网络包二进制数据的三种方法
weixin_32015301的博客
12-28 789
Wireshark 是一款很好用的 UI 抓包工具，在 Windows、macOS 上都可以使用。最近开发的一个统计日志上报功能，发送的网络请求明明可以收到 server 正确的响应，但却捞取不到相关的日志，于是想到用 Wireshark 抓包分析内容，看看是哪里出问题了。 图中 Data 部分就是我们关心的数据包，想要进一步分析，需要将它导出为原始的二进制文件，这里一共有三种方法，下面分别说...
wireshark 导出证书
05-07 1478
1、打开wireshark 输入过滤条件 ip.addr == "xxxxx" image.png 2、选中有Certificate的那一行 image.png 展开， 记住不要双击打开，新窗口是无法使用右键的，展开后的样子是这样的 image.png 导出证书，右键选择'导出分组[字节流]，保存格式为'All files',命名，后缀是.cer， 比如ca....
tshark----wireshark的命令行工具
aecuhty88306453的博客
10-15 688
tshark - 转储和分析网络流 概要 tshark的[-2] [-a<捕捉自动停止条件>] ... [-b<捕捉环形缓冲区选项>] ... [-B<捕获缓冲区大小>] [-c<捕获分组计数>] [- ?<配置文件>] [-d<层型> == <...
wireshark网络安全流量分析基础
2201_75719295的博客
04-07 2213
作为网络流量安全分析的好工具，功能其实也很多，本次分享的只是一些常见功能，如果对网络流量安全分析感兴趣，可以多去使用wireshark研究攻击数据包特征，可以先从简单web攻击数据包开始，再去看看一些窃密、木马、APT相关数据包，后面我也会慢慢分享一些关于分析威胁流量包的文章，也是记录自己的一个学习过程。其他协议相关文件也一样。海量数据中要想能察觉到可疑通信，找到攻击的蛛丝马迹，那就需要对一些端口、协议、请求方式和攻击特征等进行过滤，不断缩小可疑流量范围，才能更好进一步分析达到最终溯源的目的。
wireshark：文件输入、输出和打印
OceanStar的博客
11-29 5158
引言 wireshark针对捕获到的数据，可以： 以各种捕获文件格式打开捕获文件 以各种格式保存和导出捕获文件 将捕获文件合并到一起 导入包含十六进制数据报转储的文本文件 打印数据包 打开捕获文件 wireshark可以读取以前保存的文件。方法有二： 菜单栏的“文件->Open”或者工具栏 在文件管理器中拖动文件并将其放到Wireshark的主窗口中，就可以打开该文件。 “打开捕获文件”对话框 作用： 打开要查看的捕获文件 “打开捕获文件”对话框允许您搜索以前捕获的数据包的捕获文件，以便在w
tshark提取
2301_76718200的博客
11-20 438
URG：紧急比特（urgent）， 当 URG=1 时，表明紧急指针字段有效， 代表该封包为紧急封包。SYN：同步比特 （Synchronous），SYN 置为 1，就表示这是一个连接请求或连接接受报文， 通常带有 SYN 标志的封包表示『主动』要连接到对方的意思。RST：复位比特 （Reset） ， 当 RST=1 时，表明 TCP 连接中出现严重差错（如由于主机崩溃或其他原因），必须释放连接，然后再重新建立运输连接。当 FIN=1 时，表明此报文段的发送端的数据已发送完毕，并要求释放运输连接。
怎么使用tshark导出Wireshark 里面的内容
04-24
### 如何使用 tshark 导出 Wireshark 捕获的数据或特定内容 #### 工具简介 tshark 是 Wireshark 的命令行版本工具，具有强大的数据分析能力。它可以读取 pcap 或 pcapng 格式的捕获文件，并提供多种方式导出其中的内容。无论是完整的数据包还是特定字段，都可以通过设置合适的参数来实现[^1]。 #### 基础用法 以下是几个常见的场景以及对应的 tshark 使用方法： 1. **从已有的捕获文件中提取符合条件的数据包** 如果有一个现有的 `.pcap` 文件，并希望通过某种条件过滤后将其保存为新的文件，则可以如下操作： ```bash tshark -r input.pcap -w output_filtered.pcap -Y "filter_expression" ``` 此处 `-Y` 后接的是显示过滤器 (Display Filter) 表达式，例如 `"http"` 将只匹配 HTTP 流量[^2]。 2. **仅导出指定字段至文本格式** 当只需获取某些特定字段而非整套原始帧时，可借助 `-T fields` 参数搭配一系列 `-e field_name` 子选项完成定制化输出： ```bash tshark -r capture_file.pcap -T fields -e ip.src -e tcp.dstport -E header=y -E separator=, > result.csv ``` 上述例子会将源 IP 地址与目标 TCP 端口号以逗号分隔的形式写入 CSV 文件中。注意这里的 `-E` 用于调整输出格式特性[^3]。 3. **转换成 JSON 结构便于程序解析** 若期望结果更加机器友好一些的话，不妨考虑转为 JSON 形态： ```bash tshark -r source_capture.pcap -T json -Y "your_filter_here" > structured_output.json ``` 4. **实时监听并即时处理新到达的数据流** 不局限于事后分析静态日志，在线模式同样可行： ```bash tshark -i eth0 -f "udp port 53" -l | awk '{print $NF}' ``` 这里假设监控 DNS 请求 (`eth0` 设定为目标网卡接口名)，并通过管道传递给 AWK 提取消息末尾部分作为域名展示[^2]。 #### 实际案例分享 假设有这样一个任务背景——需要从业务系统交互过程中截取出所有 HTTPS GET 方法请求路径及其响应状态码组合起来形成审计列表。那么解决方案可能涉及以下几个步骤： - 应用适当捕获规则收集相关联的 SSL/TLS 加密通信； - 解密密钥加载以便深入理解高层协议细节； - 编写精确筛选逻辑区分所需动作类型； - 定义清晰的目标属性集合准备后期整理入库。 综合以上要点给出完整脚本示意如下所示： ```bash #!/bin/bash INPUT_FILE="encrypted_traffic.pcap" OUTPUT_CSV="audit_records.csv" # Step One: Apply decryption keys if necessary. KEY_LIST=$(cat /path/to/sslkeys.txt) # Step Two: Perform actual extraction work. tshark \ -o ssl.keys_list:"$KEY_LIST" \ -r "$INPUT_FILE" \ -Y 'http.request.method == "GET"' \ -T fields \ -e http.request.full_uri \ -e http.response.code \ -E header=n \ -E quote=d \ > "$OUTPUT_CSV" ``` ---
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值