tshark (wireshark)笔记

最新推荐文章于 2025-07-17 22:38:00 发布

转载最新推荐文章于 2025-07-17 22:38:00 发布 · 286 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：https://yq.aliyun.com/articles/395607

文章标签：

#网络

本文介绍了一系列使用dumpcap及tshark进行网络数据捕获与分析的方法，包括配置参数详解与具体应用场景，如统计IP流量、合并多个数据包文件等。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1. dumpcap -i eth0 -q -n -b duration:120 -b files:5000 -s65535 -f "! ip broadcast and ! ip multicast and ! ether broadcast and ! ether multicast" -w /www/pkg.pcap
-i eth0 : 抓取网口 eth0 的数据
-q : 静默方式
-n : 禁止解析
-b duration:120 -b files:5000 : 每120s建立一个新文件，最大文件循环数5000个
-s65535 : 抓取尺寸在65535字节以下的报文。（默认68以下）
-f "! ip broadcast and ! ip multicast and ! ether broadcast and ! ether multicast" ：过滤条件
-w /www/pkg.pcap ：抓到的包写入的文件

2. tshark -z ip_hosts,tree -q -r pkg.pcap
统计这个文件中出现的IP

3. tshark -z conv,ip -q -r pkg.pcap
统计这个文件中出现的IP以及这个IP的流量

4. tshark -z io,stat,2,"ip.addr==192.168.1.101" -t ad -q -r pkg.pcap
统计这个文件中IP192.168.1.101每隔2s的流量

5. tshark -z conv,tcp -q -r pkg.pcap
tshark -r pkg.pcap -T fields -e ip.src -e ip.dst -e tcp.srcport -e tcp.dstport
统计文件中出现的4元组

6. tshark -r pkg.pcap -T fields -e eth.src -e eth.dst
tshark -z conv,eth -q -r pkg.pcap
统计每个抓到的包里面出现的MAC，这个文件必须是针对某一个网卡（eth0, eth1)，而不能是any

7. mergecap -w pkg.pcap pkg_00001* pkg_00002*
把所有相符的包文件都合并为一个pkg.pcap文件

本文转自郝峰波博客园博客，原文链接：http://www.cnblogs.com/fengbohello/p/4665153.html，如需转载请自行联系原作者