wireshark利用sshdump自身组件进行远程实时抓包过滤

引言

以前在不了解wireshark可以远程抓包的时间，经常通过tcpdump在远程linux主机将抓包文件保存下来后，然后拖拽入windows中再打开，进行分析查看。

此过程比较繁琐，也不够实时。比较常用的抓包动作是仅出现某特征的报文后，我们才需要将文件保存下来，此操作方法就比较折腾了！

但实际上，wireshark可以通过自身组件sshdump，或其它工具的辅助,例如，MobaXterm，支持对远程主机进行实时、在线抓包和过滤。

两种简单的方法

• 通过wireshark sshdump组件支持ssh远程登录linux主机后进行实时在线抓包

• 此组件默认不安装，需要在安装过程中对于Tools组件中sshdump进行特殊勾选
• sshdump默认会过滤掉非相关报文 ，比较智能

• 借助MobaXterm的本地客户端工具，通过SSH远程命令和管道操作进行远程抓包

cd /drives/c/"Program Files"/Wireshark
ssh root@192.168.8.146 'tcpdump