wireshark命令行工具介绍
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
packets per file> 按包个数分割包文件，如<packets per file>为1000，则将 原始包文件分割成多个文件，每个文件的包个数为1000，当然最后一个文件的包数可以小 于等于1000. -i <seconds per file> 按时间分割包文件，如<seconds per file>为10，则每个被 分割的文件中的包时间戳均在10s内，且每个包的时间戳又会从0开始. -F <capture type> 设置输出文件的格式，默认为pcapng。 -T <encap type> 设置输出文件中包封装的类型，默认和原始包封装类型一致。 是否445444地方3
2.删除重复包类
-d -D <dup window> 删除重复的包（默认5个内进行比对）。 删除重复的包，并指定在<dup window>个包内进行比对 <dup window>的范围为0-1000000。 -w <dup time window> 删除重复的包，并指定时间在<dup time window>之前 的数据包才做重复删除操作。
Company Logo
wireshark命令行工具 - editcap
3. 处理类
-s <snaplen> 将数据包截断成长度为<snaplen>的数据包。 -C <choplen> 将包尾的<choplen>个字节砍掉。 -t <time adjustment> 调整包的时间戳;<time adjustment> 即可以为正数，也 可以为负数。 -E <error probability> 按照<error probability>的比例随机制造错包，例如 <error probability>为0.05，则包文件中5%的包会随机被配置为各种错包。
Company Logo
wireshark命令行工具 - tshark
6. 输出类
-w 设置raw数据的输出文件。这个参数不设置，tshark将会把解码结果输出到 stdout。“-w-”表示把raw输出到stdout。如果要把解码结果输出到文件，使用 重定向“>”而不要-w参数。 -F 设置输出raw数据的格式，默认为libpcap。“tshark-F”会列出所有支持的 raw格式。 -V 设置将解码结果的细节输出，否则解码结果仅显示一个packet一行的 summary。 -x 设置在解码输出结果中，每个packet后面以HEXdump的方式显示具体数据。 -T 设置解码结果输出的格式，包括text,ps,psml和pdml，默认为text。 -t 设置解码结果的时间格式。“ad”表示带日期的绝对时间，“a”表示不带日 期的绝对时间，“r”表示从第一个包到现在的相对时间，“d”表示两个相邻包之 间的增量时间（delta）。 -S 在向raw文件输出的同时，将解码结果打印到控制台。 -l 在处理每个包时即时刷新输出。 -X 扩展项。 -q 设置安静的stdout输出（例如做统计时） -z 设置统计参数。
抓包类抓包类i指定抓包网卡名f抓包过滤表达式s配置抓到的包被截取的长度默认为65535p抓包时不使用混杂模式y链路层类型d显示当前接口信息l显示支持的链路层类型s打印每个接口每秒的计数器统计信息m用于加上dlands参数时减少机器可读的输出wireshark命令行工具命令行工具dumpcap2
wireshark命令行工具介绍
Company Logo
wireshark命令行工具 - tshark
6. 输出类
-w 设置raw数据的输出文件。这个参数不设置，tshark将会把解码结果输出到 stdout。“-w-”表示把raw输出到stdout。如果要把解码结果输出到文件，使用 重定向“>”而不要-w参数。 -F 设置输出raw数据的格式，默认为libpcap。“tshark-F”会列出所有支持的 raw格式。 -V 设置将解码结果的细节输出，否则解码结果仅显示一个packet一行的 summary。 -x 设置在解码输出结果中，每个packet后面以HEXdump的方式显示具体数据。 -T 设置解码结果输出的格式，包括text,ps,psml和pdml，默认为text。 -t 设置解码结果的时间格式。“ad”表示带日期的绝对时间，“a”表示不带日 期的绝对时间，“r”表示从第一个包到现在的相对时间，“d”表示两个相邻包之 间的增量时间（delta）。 -S 在向raw文件输出的同时，将解码结果打印到控制台。 -l 在处理每个包时即时刷新输出。 -X 扩展项。 -q 设置安静的stdout输出（例如做统计时） -z 设置统计参数。
Company Logo
wireshark命令行工具 - tshark
4. 文件输入
-r 设置tshark分析的输入文件。tshark既可以抓取分析即时的网络流量，又可以 分析dump在文件中的数据。-r不能是命名管道和标准输入。
5. 处理类
-R 设置读取（显示）过滤表达式（read filterexpression）。不符合此表达式的 流量同样不会被写入文件。注意，读取（显示）过滤表达式的语法和底层相关的抓 包过滤表达式语法不相同，它的语法表达要丰富得多，请参考 /docs/dfref/和 /docs/man-pages/ethereal-filter.4.html。类似 于抓包过滤表达式，在命令行使用时最好将它们quote起来。 -n 禁止所有地址名字解析（默认为允许所有）。 -N 启用某一层的地址名字解析。“m”代表MAC层，“n”代表网络层，“t” 代表传输层，“C”代表当前异步DNS查找。如果-n和-N参数同时存在，-n将被 忽略。如果-n和-N参数都不写，则默认打开所有地址名字解析。 -d 将指定的数据按有关协议解包输出。如要将tcp8888端口的流量按http解包， 应该写为“-dtcp.port==8888,http”。注意选择子和解包协议之间不能留空格。
Company Logo
wireshark命令行工具 - tshark
主要参数分类含义权作解说如下：
1. 抓包接口类
-i 设置抓包的网络接口，不设置则默认为第一个非自环接口。 -D 列出当前存在的网络接口。在不了解OS所控制的网络设备时，一般先用 “tshark-D”查看网络接口的编号以供-i参数使用。 -f 设定抓包过滤表达式（capture filterexpression）。抓包过滤表达式的写法 雷同于tcpdump，可参考tcpdump manpage的有关部分。 -s 设置每个抓包的大小，默认为65535，多于这个大小的数据将不会被程序记入 内存、写入文件。（这个参数相当于tcpdump的-s，tcpdump默认抓包的大小仅 为68） -p 设置网络接口以非混合模式工作，即只关心和本机有关的流量。 -B 设置内核缓冲区大小，仅对windows有效。 -y 设置抓包的数据链路层协议，不设置则默认为-L找到的第一个协议，局域网一 般是EN10MB等。 -L 列出本机支持的数据链路层协议，供-y参数使用。
Embedway
wireshark命令行工具 - tshark
基本语法：
tshark [ -a <capture autostop condition> ] ... [ -b <capture ring buffer option>] ...[ -B <capture buffer size (Win32 only)> ] [ -c <capture packet count> ][ -d <layer type>==<selector>,<decode-as protocol> ][ -D ][ -f <capture filter> ][ -F <file format> ][ -h ][ -i <capture interface>|- ][ -l ][ -L ][ -n ][ -N <name resolving flags> ][ o <preference setting> ] ...[ -p ][ -q ][ -r <infile> ][ -R <read (display) filter> ][ -s <capture snaplen> ][ -S ][ -t ad|a|r|d ][ -T pdml|psml|ps|text ][ -v ][ -V ][ -w <outfile>|- ][ -x ][ -X <eXtension option>][ -y <capture link type> ][ -z <statistics> ]
Company Logo
wireshark命令行工具 - tshark
使用示例：
1.查询当前系统可以捕获的借口 tshark -D 2.指定网卡抓包，且指定抓包数目及类型 tshark -i 1 -c 2000 -f "tcp dst port 443" 说明：捕获 tcp，目的端口为443 的流量，捕获数量为2000个。 3.将抓到的包写入文件，且指定文件的大小和数量 tshark -i 1 -w /var/tshark/tshark.log -b filesize:8096 -b files:8 说明：运行tshark 来捕获数据包到文件，指定文件大小为8M左右，只保留8个 最新文件，一边对采集的文件作进一步分析处理。 4.转换包文件格式 tshark -r http.pcap -w http.cap 将pcap格式的包文件另存为cap格式的包文件。 5.过滤某包文件中的数据包 tshark -r http_bak.pcap -R "tcp.dstport==80" -w http.cap 过滤包文件中所有TCP协议目的端口为80的数据包，并将过滤的数据包另存为其 他包文件。
Company Logo
wireshark命令行工具 - tshark
2. 抓包停止条件
-c 抓取的packet数，在处理一定数量的packet后，停止抓取，程序退出。
-a 设置tshark抓包停止向文件书写的条件，事实上是tshark在正常启动之后停止 工作并返回的条件。条件写为test:value的形式，如“-aduration:5”表示 tshark启动后在5秒内抓包然后停止；“-afilesize:10”表示tshark在输出文件达 到10kB后停止；“-afiles:n”表示tshark在写满n个文件后停止。（windows版 的tshark0.99.3用参数“-afiles:n”不起作用——会有无数多个文件生成。由于b参数有自己的files参数，所谓“和-b的其它参数结合使用”无从说起。这也许是 一个bug，或tshark的manpage的书写有误。）
Company Logo
wireshark命令行工具 - editcap
基本语法：
editcap [options] ... <infile> <outfile> [ <packet#>[-<packet#>] ... ] 主要参数分类含义权作解说如下：
1. 包选择类
-r -A <start time> -B <stop time> 保留选择的包；默认为删除。 选择所有包的时间戳大于该时间的包。 选择所有包的时间戳小于该时间的包。
3. 文件输出控制
-b 设置ringbuffer文件参数。ringbuffer的文件名由-w参数决定。-b参数采用 test:value的形式书写。“-bduration:5”表示每5秒写下一个ring buffer文件； “-bfilesize:5”表示每达到5kB写下一个ringbuffer文件；“-b files:7”表示 ringbuffer文件最多7个，周而复始地使用，如果这个参数不设定，tshark会将磁 盘写满为止。
wireshark命令行工具列表
工具名称
功能说明
tshark
editcap dumpcap mergecap capinfos text2pcap
capturing and displaying packets
Edit and/or translate the format of capture files network traffic dump tool Merging multiple capture files into one Print information about capture files Converting ASCII hexdumps to network captures
2.删除重复包类
-d -D <dup window> 删除重复的包（默认5个内进行比对）。 删除重复的包，并指定在<dup window>个包内进行比对 <dup window>的范围为0-1000000。 -w <dup time window> 删除重复的包，并指定时间在<dup time window>之前 的数据包才做重复删除操作。
Company Logo
wireshark命令行工具 - editcap
3. 处理类
-s <snaplen> 将数据包截断成长度为<snaplen>的数据包。 -C <choplen> 将包尾的<choplen>个字节砍掉。 -t <time adjustment> 调整包的时间戳;<time adjustment> 即可以为正数，也 可以为负数。 -E <error probability> 按照<error probability>的比例随机制造错包，例如 <error probability>为0.05，则包文件中5%的包会随机被配置为各种错包。
Company Logo
wireshark命令行工具 - tshark
6. 输出类
-w 设置raw数据的输出文件。这个参数不设置，tshark将会把解码结果输出到 stdout。“-w-”表示把raw输出到stdout。如果要把解码结果输出到文件，使用 重定向“>”而不要-w参数。 -F 设置输出raw数据的格式，默认为libpcap。“tshark-F”会列出所有支持的 raw格式。 -V 设置将解码结果的细节输出，否则解码结果仅显示一个packet一行的 summary。 -x 设置在解码输出结果中，每个packet后面以HEXdump的方式显示具体数据。 -T 设置解码结果输出的格式，包括text,ps,psml和pdml，默认为text。 -t 设置解码结果的时间格式。“ad”表示带日期的绝对时间，“a”表示不带日 期的绝对时间，“r”表示从第一个包到现在的相对时间，“d”表示两个相邻包之 间的增量时间（delta）。 -S 在向raw文件输出的同时，将解码结果打印到控制台。 -l 在处理每个包时即时刷新输出。 -X 扩展项。 -q 设置安静的stdout输出（例如做统计时） -z 设置统计参数。
抓包类抓包类i指定抓包网卡名f抓包过滤表达式s配置抓到的包被截取的长度默认为65535p抓包时不使用混杂模式y链路层类型d显示当前接口信息l显示支持的链路层类型s打印每个接口每秒的计数器统计信息m用于加上dlands参数时减少机器可读的输出wireshark命令行工具命令行工具dumpcap2
wireshark命令行工具介绍
Company Logo
wireshark命令行工具 - tshark
6. 输出类
-w 设置raw数据的输出文件。这个参数不设置，tshark将会把解码结果输出到 stdout。“-w-”表示把raw输出到stdout。如果要把解码结果输出到文件，使用 重定向“>”而不要-w参数。 -F 设置输出raw数据的格式，默认为libpcap。“tshark-F”会列出所有支持的 raw格式。 -V 设置将解码结果的细节输出，否则解码结果仅显示一个packet一行的 summary。 -x 设置在解码输出结果中，每个packet后面以HEXdump的方式显示具体数据。 -T 设置解码结果输出的格式，包括text,ps,psml和pdml，默认为text。 -t 设置解码结果的时间格式。“ad”表示带日期的绝对时间，“a”表示不带日 期的绝对时间，“r”表示从第一个包到现在的相对时间，“d”表示两个相邻包之 间的增量时间（delta）。 -S 在向raw文件输出的同时，将解码结果打印到控制台。 -l 在处理每个包时即时刷新输出。 -X 扩展项。 -q 设置安静的stdout输出（例如做统计时） -z 设置统计参数。
Company Logo
wireshark命令行工具 - tshark
4. 文件输入
-r 设置tshark分析的输入文件。tshark既可以抓取分析即时的网络流量，又可以 分析dump在文件中的数据。-r不能是命名管道和标准输入。
5. 处理类
-R 设置读取（显示）过滤表达式（read filterexpression）。不符合此表达式的 流量同样不会被写入文件。注意，读取（显示）过滤表达式的语法和底层相关的抓 包过滤表达式语法不相同，它的语法表达要丰富得多，请参考 /docs/dfref/和 /docs/man-pages/ethereal-filter.4.html。类似 于抓包过滤表达式，在命令行使用时最好将它们quote起来。 -n 禁止所有地址名字解析（默认为允许所有）。 -N 启用某一层的地址名字解析。“m”代表MAC层，“n”代表网络层，“t” 代表传输层，“C”代表当前异步DNS查找。如果-n和-N参数同时存在，-n将被 忽略。如果-n和-N参数都不写，则默认打开所有地址名字解析。 -d 将指定的数据按有关协议解包输出。如要将tcp8888端口的流量按http解包， 应该写为“-dtcp.port==8888,http”。注意选择子和解包协议之间不能留空格。
Company Logo
wireshark命令行工具 - tshark
主要参数分类含义权作解说如下：
1. 抓包接口类
-i 设置抓包的网络接口，不设置则默认为第一个非自环接口。 -D 列出当前存在的网络接口。在不了解OS所控制的网络设备时，一般先用 “tshark-D”查看网络接口的编号以供-i参数使用。 -f 设定抓包过滤表达式（capture filterexpression）。抓包过滤表达式的写法 雷同于tcpdump，可参考tcpdump manpage的有关部分。 -s 设置每个抓包的大小，默认为65535，多于这个大小的数据将不会被程序记入 内存、写入文件。（这个参数相当于tcpdump的-s，tcpdump默认抓包的大小仅 为68） -p 设置网络接口以非混合模式工作，即只关心和本机有关的流量。 -B 设置内核缓冲区大小，仅对windows有效。 -y 设置抓包的数据链路层协议，不设置则默认为-L找到的第一个协议，局域网一 般是EN10MB等。 -L 列出本机支持的数据链路层协议，供-y参数使用。
Embedway
wireshark命令行工具 - tshark
基本语法：
tshark [ -a <capture autostop condition> ] ... [ -b <capture ring buffer option>] ...[ -B <capture buffer size (Win32 only)> ] [ -c <capture packet count> ][ -d <layer type>==<selector>,<decode-as protocol> ][ -D ][ -f <capture filter> ][ -F <file format> ][ -h ][ -i <capture interface>|- ][ -l ][ -L ][ -n ][ -N <name resolving flags> ][ o <preference setting> ] ...[ -p ][ -q ][ -r <infile> ][ -R <read (display) filter> ][ -s <capture snaplen> ][ -S ][ -t ad|a|r|d ][ -T pdml|psml|ps|text ][ -v ][ -V ][ -w <outfile>|- ][ -x ][ -X <eXtension option>][ -y <capture link type> ][ -z <statistics> ]
Company Logo
wireshark命令行工具 - tshark
使用示例：
1.查询当前系统可以捕获的借口 tshark -D 2.指定网卡抓包，且指定抓包数目及类型 tshark -i 1 -c 2000 -f "tcp dst port 443" 说明：捕获 tcp，目的端口为443 的流量，捕获数量为2000个。 3.将抓到的包写入文件，且指定文件的大小和数量 tshark -i 1 -w /var/tshark/tshark.log -b filesize:8096 -b files:8 说明：运行tshark 来捕获数据包到文件，指定文件大小为8M左右，只保留8个 最新文件，一边对采集的文件作进一步分析处理。 4.转换包文件格式 tshark -r http.pcap -w http.cap 将pcap格式的包文件另存为cap格式的包文件。 5.过滤某包文件中的数据包 tshark -r http_bak.pcap -R "tcp.dstport==80" -w http.cap 过滤包文件中所有TCP协议目的端口为80的数据包，并将过滤的数据包另存为其 他包文件。
Company Logo
wireshark命令行工具 - tshark
2. 抓包停止条件
-c 抓取的packet数，在处理一定数量的packet后，停止抓取，程序退出。
-a 设置tshark抓包停止向文件书写的条件，事实上是tshark在正常启动之后停止 工作并返回的条件。条件写为test:value的形式，如“-aduration:5”表示 tshark启动后在5秒内抓包然后停止；“-afilesize:10”表示tshark在输出文件达 到10kB后停止；“-afiles:n”表示tshark在写满n个文件后停止。（windows版 的tshark0.99.3用参数“-afiles:n”不起作用——会有无数多个文件生成。由于b参数有自己的files参数，所谓“和-b的其它参数结合使用”无从说起。这也许是 一个bug，或tshark的manpage的书写有误。）
Company Logo
wireshark命令行工具 - editcap
基本语法：
editcap [options] ... <infile> <outfile> [ <packet#>[-<packet#>] ... ] 主要参数分类含义权作解说如下：
1. 包选择类
-r -A <start time> -B <stop time> 保留选择的包；默认为删除。 选择所有包的时间戳大于该时间的包。 选择所有包的时间戳小于该时间的包。
3. 文件输出控制
-b 设置ringbuffer文件参数。ringbuffer的文件名由-w参数决定。-b参数采用 test:value的形式书写。“-bduration:5”表示每5秒写下一个ring buffer文件； “-bfilesize:5”表示每达到5kB写下一个ringbuffer文件；“-b files:7”表示 ringbuffer文件最多7个，周而复始地使用，如果这个参数不设定，tshark会将磁 盘写满为止。
wireshark命令行工具列表
工具名称
功能说明
tshark
editcap dumpcap mergecap capinfos text2pcap
capturing and displaying packets
Edit and/or translate the format of capture files network traffic dump tool Merging multiple capture files into one Print information about capture files Converting ASCII hexdumps to network captures