wireshark命令行工具介紹課件

wireshark命令行工具介紹

Embedwaywireshark命令行工具列表CompanyLogowireshark命令行工具-tshark基本語法：tshark

[-a<captureautostopcondition>]...

[-b<captureringbufferoption>]...[-B<capturebuffersize(Win32only)>][-c<capturepacketcount>][-d<layertype>==<selector>,<decode-asprotocol>][-D][-f<capturefilter>][-F<>][-h][-i<captureinterface>|-][-l][-L][-n][-N<nameresolvingflags>][-o<preferencesetting>]...[-p][-q][-r<infile>][-R<read(display)filter>][-s<capturesnaplen>][-S][-tad|a|r|d][-Tpdml|psml|ps|text][-v][-V][-w<out][-x][-X<eXtensionoption>][-y<capturelinktype>][-z<statistics>]CompanyLogowireshark命令行工具-tshark2.抓包停止條件-c

抓取的packet數，在處理一定數量的packet后，停止抓取，程序退出。-a

設置tshark抓包停止向文件書寫的條件，事實上是tshark在正常啟動之后停止工作并返回的條件。條件寫為test:value的形式，如“-aduration:5”表示tshark啟動后在5秒內抓包然后停止；“-a”表示tshark在輸出文件達到10kB后停止；“-a”表示tshark在寫滿n個文件后停止。（windows版的tshark0.99.3用參數“-a”不起作用——會有無數多個文件生成。由于-b參數有自己的files參數，所謂“和-b的其它參數結合使用”無從說起。這也許是一個bug，或tshark的manpage的書寫有誤。）3.文件輸出控制-b

設置ringbuffer文件參數。ringbuffer的文件名由-w參數決定。-b參數采用test:value的形式書寫?！?bduration:5”表示每5秒寫下一個ringbuffer文件；“-b”表示每達到5kB寫下一個ringbuffer文件；“-b”表示ringbuffer文件最多7個，周而復始地使用，如果這個參數不設定，tshark會將磁盤寫滿為止。CompanyLogowireshark命令行工具-tshark4.文件輸入-r

設置tshark分析的輸入文件。tshark既可以抓取分析即時的網絡流量，又可以分析dump在文件中的數據。-r不能是命名管道和標準輸入。5.處理類-R

設置讀?。@示）過濾表達式（readfilterexpression）。不符合此表達式的流量同樣不會被寫入文件。注意，讀取（顯示）過濾表達式的語法和底層相關的抓包過濾表達式語法不相同，它的語法表達要豐富得多，請參考和。類似于抓包過濾表達式，在命令行使用時最好將它們quote起來。-n

禁止所有地址名字解析（默認為允許所有）。-N

啟用某一層的地址名字解析?！癿”代表MAC層，“n”代表網絡層，“t”代表傳輸層，“C”代表當前異步DNS查找。如果-n和-N參數同時存在，-n將被忽略。如果-n和-N參數都不寫，則默認打開所有地址名字解析。-d

將指定的數據按有關協(xié)議解包輸出。如要將tcp8888端口的流量按http解包，應該寫為“-dtcp.port==8888,http”。注意選擇子和解包協(xié)議之間不能留空格。CompanyLogowireshark命令行工具-tshark6.輸出類-w

設置raw數據的輸出文件。這個參數不設置，tshark將會把解碼結果輸出到stdout?！?w-”表示把raw輸出到stdout。如果要把解碼結果輸出到文件，使用重定向“>”而不要-w參數。-F

設置輸出raw數據的格式，默認為libpcap?！皌shark-F”會列出所有支持的raw格式。-V

設置將解碼結果的細節(jié)輸出，否則解碼結果僅顯示一個packet一行的summary。-x

設置在解碼輸出結果中，每個packet后面以HEXdump的方式顯示具體數據。-T

設置解碼結果輸出的格式，包括text,ps,psml和pdml，默認為text。-t

設置解碼結果的時間格式?！癮d”表示帶日期的絕對時間，“a”表示不帶日期的絕對時間，“r”表示從第一個包到現(xiàn)在的相對時間，“d”表示兩個相鄰包之間的增量時間（delta）。-S

在向raw文件輸出的同時，將解碼結果打印到控制臺。-l

在處理每個包時即時刷新輸出。-X

擴展項。-q

設置安靜的stdout輸出（例如做統(tǒng)計時）-z

設置統(tǒng)計參數。CompanyLogowireshark命令行工具-tshark6.輸出類-w

設置raw數據的輸出文件。這個參數不設置，tshark將會把解碼結果輸出到stdout。“-w-”表示把raw輸出到stdout。如果要把解碼結果輸出到文件，使用重定向“>”而不要-w參數。-F

設置輸出raw數據的格式，默認為libpcap?！皌shark-F”會列出所有支持的raw格式。-V

設置將解碼結果的細節(jié)輸出，否則解碼結果僅顯示一個packet一行的summary。-x

設置在解碼輸出結果中，每個packet后面以HEXdump的方式顯示具體數據。-T

設置解碼結果輸出的格式，包括text,ps,psml和pdml，默認為text。-t

設置解碼結果的時間格式?！癮d”表示帶日期的絕對時間，“a”表示不帶日期的絕對時間，“r”表示從第一個包到現(xiàn)在的相對時間，“d”表示兩個相鄰包之間的增量時間（delta）。-S

在向raw文件輸出的同時，將解碼結果打印到控制臺。-l

在處理每個包時即時刷新輸出。-X

擴展項。-q

設置安靜的stdout輸出（例如做統(tǒng)計時）-z

設置統(tǒng)計參數。CompanyLogowireshark命令行工具-editcap基本語法：editcap[options]...<infile><outfile>[<packet#>[-<packet#>]...]主要參數分類含義權作解說如下：1.包選擇類

-r保留選擇的包；默認為刪除。-A<starttime>選擇所有包的時間戳大于該時間的包。

-B<stoptime>選擇所有包的時間戳小于該時間的包。2.刪除重復包類-d

刪除重復的包（默認5個內進行比對）。-D<dupwindow>

刪除重復的包，并指定在<dupwindow>個包內進行比對

<dupwindow>的范圍為0-1000000。-w<duptimewindow>

刪除重復的包，并指定時間在<duptimewindow>之前的數據包才做重復刪除操作。CompanyLogowireshark命令行工具-editcap使用示例：1.將數據包截斷為64字節(jié)長度，且轉換為snoop的格式：editcap-s64-Fsnoopcapture.pcapshortcapture.snoop2.刪除原始文件中的第1000個數據包：editcapcapture.pcapsans1000.pcap10003.提取原始文件中的第200到750個包：editcap-rcapture.pcapsmall.pcap200-7504.提取原始文件中的第1,5,10to20and30to40個包：editcap-rcapture.pcapselect.pcap1510-2030-405.刪除與前面4個包中有重復的包：editcap-dcapture.pcapdedup.pcap6.刪除與前面100個包中有重復的包：editcap-D101capture.pcapdedup.pcap7.是原始文件中5%的包隨機變?yōu)殄e包：editcap-E0.05capture.pcapcapture_error.pcap是否445444地方3CompanyLogowireshark命令行工具-dumpcap2.停止條件類-c<packetcount>在抓到<packetcount>個包后停止抓包，默認為持續(xù)抓包。-a<autostopcond.>duration:NUM為在NUM秒后停止抓包；為在抓到NUMKB的包后停止抓包；為在抓包文件為NUM個后停止抓包。3.輸出類

-w<>要保存的文件名-b<ringbufferopt.>duration:NUM為在NUM秒后存下一個文件；為在NUMKB后存下一個文件；-ringbuffer:replaceafterNUMfiles。

-n使用pcapng的格式保存。3CompanyLogowireshark命令行工具-dumpcap使用示例：1.查看當前可用網卡信息：dumpcap-D2.捕獲tcp，目的端口為443的流量，捕獲數量為2000個：dumpcap-ieth2-f"tcpdstport443"-c20003.捕獲8M的數據包后停止抓包：dumpcap-i1-w/var/dumpcap/dumpcap.pcap-a4.捕獲數據包到文件，指定文件大小為8M左右，只保留8個最新文件：dumpcap-i1-w/var/dumpcap/dumpcap.pcap-b-b5.將捕獲的數據包截斷為64字節(jié)，并每秒打印一次計數器信息：dumpcap-ieth2-s64-wdumpcap.pcap-Sdumpcap-D3CompanyLogowireshark命令行工具-mergecap基本語法：mergecap[options]-w<out<infile>[<infile>...]主要參數分類含義權作解說如下：-a將多個文件拼接成一個文件，默認為按照數據包的時間戳進行合并。-s<snaplen>將文件中的數據包均截斷為<snaplen>字節(jié)。-w<outfile>設置保存為文件名。-F<capturetype>設置保存的文件類型，默認為pcapng。-T<encaptype>設置保存文件的封裝類型，默認和原始文件類型一致。使用示例：1.按包時間戳合并兩個包文件，且封裝類型為以太網：mergecap-wa.pcaphttp_bak1.pcaphttp_bak2.pcap-Tether2.將兩個包文件拼接成一個文件：mergecap-wa.pcaphttp_bak1.pcaphttp_bak2.pcap-Tether-a3.將兩個pcap文件合并，且另外為snoop類型的文件：mergecap-wa.snoophttp_bak1.pcaphttp_bak2.pcap-Tether-FsnoopCompanyLogowireshark命令行工具-capinfos基本語法：capinfos[options]<infile>...主要參數分類含義權作解說如下：-t打印包文件的類型-E打印包文件的封裝類型-c打印包的個數-s打印包文件的大?。▎挝唬篵ytes）-d打印包所有包的總字節(jié)長度（單位：bytes）-u打印包文件中包的時間周期(單位：seconds)-a打印包文件中包的起始時間-e打印包文件中包的結束時間-y打印包文件中包的平均速率(單位：bytes/sec)-i打印包文件中包的平均速率(單位：bits/sec)-z打印包文件中包的平均字節(jié)長度(單位：bytes)-x打印包文件中包的平均速率(單位：packets/sec)使用示例：1.顯示包文件的所有信息：capinfoshttp_bak.pcapCompanyLogowireshark命令行工具-text2pcap基本語法：text2pcap[-a][-d][-D][-e<l3pid>][-h][-i<proto>][-l<typenum>][-n][-m<max-packet>][-ohex|oct|dec][-q][-s<srcport>,<destport>,<tag>][-S<srcport>,<destport>,<ppi>][-t<timefmt>][-T<srcport>,<destport>][-u<srcport>,<destport>]<infile><outfile>主要參數分類含義權作解說如下：-ohex|oct|dec配置解析方式為(h)ex，(o)ctal或(d)ecimal，默認為h。-t<timefmt>按照<timefmt>的格式將文件中包前的信息進行解析，并將該值當做該包的時間戳（將txt文件轉換為pcap包時，需在包的信息前加上一行類似HH:MM:SS的時間信息），<timefmt>格式可以為"%H:%M:%S"，也可以為"%Y-%m-%d%H:%M:%S"。-l<typenum>配置鏈路層協(xié)議類型，默認為1（以太網），可通過net/bpf.h文件查看各鏈路層協(xié)議類型對應的typenum。-m<max-pac