wireshark命令行工具介紹

wireshark命令行工具介紹

Embedwaywireshark命令行工具列表工具名稱功能說明tsharkcapturinganddisplayingpacketseditcap

Editand/ortranslatetheformatofcapturefilesdumpcapnetworktrafficdumptoolmergecap

MergingmultiplecapturefilesintoonecapinfosPrintinformationaboutcapturefilestext2pcapConvertingASCIIhexdumpstonetworkcapturesCompanyLogowireshark命令行工具-tshark基本語法：tshark

[-a<captureautostopcondition>]...

[-b<captureringbufferoption>]...[-B<capturebuffersize(Win32only)>][-c<capturepacketcount>][-d<layertype>==<selector>,<decode-asprotocol>][-D][-f<capturefilter>][-F<fileformat>][-h][-i<captureinterface>|-][-l][-L][-n][-N<nameresolvingflags>][-o<preferencesetting>]...[-p][-q][-r<infile>][-R<read(display)filter>][-s<capturesnaplen>][-S][-tad|a|r|d][-Tpdml|psml|ps|text][-v][-V][-w<outfile>|-][-x][-X<eXtensionoption>][-y<capturelinktype>][-z<statistics>]CompanyLogowireshark命令行工具-tshark主要參數(shù)分類含義權(quán)作解說如下：1.抓包接口類-i

設(shè)置抓包的網(wǎng)絡(luò)接口，不設(shè)置則默認為第一個非自環(huán)接口。-D

列出當前存在的網(wǎng)絡(luò)接口。在不了解OS所控制的網(wǎng)絡(luò)設(shè)備時，一般先用

“tshark-D”查看網(wǎng)絡(luò)接口的編號以供-i參數(shù)使用。-f

設(shè)定抓包過濾表達式（capturefilterexpression）。抓包過濾表達式的寫法雷同于tcpdump，可參考tcpdumpmanpage的有關(guān)部分。-s

設(shè)置每個抓包的大小，默認為65535，多于這個大小的數(shù)據(jù)將不會被程序記入內(nèi)存、寫入文件。（這個參數(shù)相當于tcpdump的-s，tcpdump默認抓包的大小僅為68）-p

設(shè)置網(wǎng)絡(luò)接口以非混合模式工作，即只關(guān)心和本機有關(guān)的流量。-B

設(shè)置內(nèi)核緩沖區(qū)大小，僅對windows有效。-y

設(shè)置抓包的數(shù)據(jù)鏈路層協(xié)議，不設(shè)置則默認為-L找到的第一個協(xié)議，局域網(wǎng)一般是EN10MB等。-L

列出本機支持的數(shù)據(jù)鏈路層協(xié)議，供-y參數(shù)使用。CompanyLogowireshark命令行工具-tshark2.抓包停止條件-c

抓取的packet數(shù)，在處理一定數(shù)量的packet后，停止抓取，程序退出。-a

設(shè)置tshark抓包停止向文件書寫的條件，事實上是tshark在正常啟動之后停止工作并返回的條件。條件寫為test:value的形式，如“-aduration:5”表示tshark啟動后在5秒內(nèi)抓包然后停止；“-afilesize:10”表示tshark在輸出文件達到10kB后停止；“-afiles:n”表示tshark在寫滿n個文件后停止。（windows版的tshark0.99.3用參數(shù)“-afiles:n”不起作用——會有無數(shù)多個文件生成。由于-b參數(shù)有自己的files參數(shù)，所謂“和-b的其它參數(shù)結(jié)合使用”無從說起。這也許是一個bug，或tshark的manpage的書寫有誤。）3.文件輸出控制-b

設(shè)置ringbuffer文件參數(shù)。ringbuffer的文件名由-w參數(shù)決定。-b參數(shù)采用test:value的形式書寫。“-bduration:5”表示每5秒寫下一個ringbuffer文件；“-bfilesize:5”表示每達到5kB寫下一個ringbuffer文件；“-bfiles:7”表示ringbuffer文件最多7個，周而復始地使用，如果這個參數(shù)不設(shè)定，tshark會將磁盤寫滿為止。CompanyLogowireshark命令行工具-tshark4.文件輸入-r

設(shè)置tshark分析的輸入文件。tshark既可以抓取分析即時的網(wǎng)絡(luò)流量，又可以分析dump在文件中的數(shù)據(jù)。-r不能是命名管道和標準輸入。5.處理類-R

設(shè)置讀?。@示）過濾表達式（readfilterexpression）。不符合此表達式的流量同樣不會被寫入文件。注意，讀?。@示）過濾表達式的語法和底層相關(guān)的抓包過濾表達式語法不相同，它的語法表達要豐富得多，請參考/docs/dfref/和/docs/mans/ethereal-filter.4.html。類似于抓包過濾表達式，在命令行使用時最好將它們quote起來。-n

禁止所有地址名字解析（默認為允許所有）。-N

啟用某一層的地址名字解析。“m”代表MAC層，“n”代表網(wǎng)絡(luò)層，“t”代表傳輸層，“C”代表當前異步DNS查找。如果-n和-N參數(shù)同時存在，-n將被忽略。如果-n和-N參數(shù)都不寫，則默認打開所有地址名字解析。-d

將指定的數(shù)據(jù)按有關(guān)協(xié)議解包輸出。如要將tcp8888端口的流量按http解包，應該寫為“-dtcp.port==8888,http”。注意選擇子和解包協(xié)議之間不能留空格。CompanyLogowireshark命令行工具-tshark6.輸出類-w

設(shè)置raw數(shù)據(jù)的輸出文件。這個參數(shù)不設(shè)置，tshark將會把解碼結(jié)果輸出到stdout?！?w-”表示把raw輸出到stdout。如果要把解碼結(jié)果輸出到文件，使用重定向“>”而不要-w參數(shù)。-F

設(shè)置輸出raw數(shù)據(jù)的格式，默認為libpcap。“tshark-F”會列出所有支持的raw格式。-V

設(shè)置將解碼結(jié)果的細節(jié)輸出，否則解碼結(jié)果僅顯示一個packet一行的summary。-x

設(shè)置在解碼輸出結(jié)果中，每個packet后面以HEXdump的方式顯示具體數(shù)據(jù)。-T

設(shè)置解碼結(jié)果輸出的格式，包括text,ps,psml和pdml，默認為text。-t

設(shè)置解碼結(jié)果的時間格式。“ad”表示帶日期的絕對時間，“a”表示不帶日期的絕對時間，“r”表示從第一個包到現(xiàn)在的相對時間，“d”表示兩個相鄰包之間的增量時間（delta）。-S

在向raw文件輸出的同時，將解碼結(jié)果打印到控制臺。-l

在處理每個包時即時刷新輸出。-X

擴展項。-q

設(shè)置安靜的stdout輸出（例如做統(tǒng)計時）-z

設(shè)置統(tǒng)計參數(shù)。CompanyLogowireshark命令行工具-tshark6.輸出類-w

設(shè)置raw數(shù)據(jù)的輸出文件。這個參數(shù)不設(shè)置，tshark將會把解碼結(jié)果輸出到stdout?！?w-”表示把raw輸出到stdout。如果要把解碼結(jié)果輸出到文件，使用重定向“>”而不要-w參數(shù)。-F

設(shè)置輸出raw數(shù)據(jù)的格式，默認為libpcap。“tshark-F”會列出所有支持的raw格式。-V

設(shè)置將解碼結(jié)果的細節(jié)輸出，否則解碼結(jié)果僅顯示一個packet一行的summary。-x

設(shè)置在解碼輸出結(jié)果中，每個packet后面以HEXdump的方式顯示具體數(shù)據(jù)。-T

設(shè)置解碼結(jié)果輸出的格式，包括text,ps,psml和pdml，默認為text。-t

設(shè)置解碼結(jié)果的時間格式。“ad”表示帶日期的絕對時間，“a”表示不帶日期的絕對時間，“r”表示從第一個包到現(xiàn)在的相對時間，“d”表示兩個相鄰包之間的增量時間（delta）。-S

在向raw文件輸出的同時，將解碼結(jié)果打印到控制臺。-l

在處理每個包時即時刷新輸出。-X

擴展項。-q

設(shè)置安靜的stdout輸出（例如做統(tǒng)計時）-z

設(shè)置統(tǒng)計參數(shù)。CompanyLogowireshark命令行工具-tshark使用示例：1.查詢當前系統(tǒng)可以捕獲的借口tshark-D2.指定網(wǎng)卡抓包，且指定抓包數(shù)目及類型tshark-i1-c2000-f"tcpdstport443"說明：捕獲tcp，目的端口為443的流量，捕獲數(shù)量為2000個。3.將抓到的包寫入文件，且指定文件的大小和數(shù)量tshark-i1-w/var/tshark/tshark.log-bfilesize:8096-bfiles:8說明：運行tshark來捕獲數(shù)據(jù)包到文件，指定文件大小為8M左右，只保留8個最新文件，一邊對采集的文件作進一步分析處理。4.轉(zhuǎn)換包文件格式tshark-rhttp.pcap-whttp.cap將pcap格式的包文件另存為cap格式的包文件。5.過濾某包文件中的數(shù)據(jù)包tshark-rhttp_bak.pcap-R"tcp.dstport==80"-whttp.cap過濾包文件中所有TCP協(xié)議目的端口為80的數(shù)據(jù)包，并將過濾的數(shù)據(jù)包另存為其他包文件。CompanyLogowireshark命令行工具-editcap基本語法：editcap[options]...<infile><outfile>[<packet#>[-<packet#>]...]主要參數(shù)分類含義權(quán)作解說如下：1.包選擇類

-r保留選擇的包；默認為刪除。-A<starttime>選擇所有包的時間戳大于該時間的包。

-B<stoptime>選擇所有包的時間戳小于該時間的包。2.刪除重復包類-d

刪除重復的包（默認5個內(nèi)進行比對）。-D<dupwindow>

刪除重復的包，并指定在<dupwindow>個包內(nèi)進行比對

<dupwindow>的范圍為0-1000000。-w<duptimewindow>

刪除重復的包，并指定時間在<duptimewindow>之前的數(shù)據(jù)包才做重復刪除操作。CompanyLogowireshark命令行工具-editcap3.處理類-s<snaplen>將數(shù)據(jù)包截斷成長度為<snaplen>的數(shù)據(jù)包。-C<choplen>將包尾的<choplen>個字節(jié)砍掉。-t<timeadjustment>調(diào)整包的時間戳;<timeadjustment>即可以為正數(shù)，也可以為負數(shù)。-E<errorprobability>按照<errorprobability>的比例隨機制造錯包，例如<errorprobability>為0.05，則包文件中5%的包會隨機被配置為各種錯包。4.輸出類-c<packetsperfile>按包個數(shù)分割包文件，如<packetsperfile>為1000，則將原始包文件分割成多個文件，每個文件的包個數(shù)為1000，當然最后一個文件的包數(shù)可以小于等于1000.-i<secondsperfile>按時間分割包文件，如<secondsperfile>為10，則每個被分割的文件中的包時間戳均在10s內(nèi)，且每個包的時間戳又會從0開始.-F<capturetype>設(shè)置輸出文件的格式，默認為pcapng。-T<encaptype>設(shè)置輸出文件中包封裝的類型，默認和原始包封裝類型一致。是否445444地方3CompanyLogowireshark命令行工具-editcap使用示例：1.將數(shù)據(jù)包截斷為64字節(jié)長度，且轉(zhuǎn)換為snoop的格式：editcap-s64-Fsnoopcapture.pcapshortcapture.snoop2.刪除原始文件中的第1000個數(shù)據(jù)包：editcapcapture.pcapsans1000.pcap10003.提取原始文件中的第200到750個包：editcap-rcapture.pcapsmall.pcap200-7504.提取原始文件中的第1,5,10to20and30to40個包：editcap-rcapture.pcapselect.pcap1510-2030-405.刪除與前面4個包中有重復的包：editcap-dcapture.pcapdedup.pcap6.刪除與前面100個包中有重復的包：editcap-D101capture.pcapdedup.pcap7.是原始文件中5%的包隨機變?yōu)殄e包：editcap-E0.05capture.pcapcapture_error.pcap是否445444地方3CompanyLogowireshark命令行工具-dumpcap基本語法：dumpcap[options]...主要參數(shù)分類含義權(quán)作解說如下：1.抓包類-i<interface>指定抓包網(wǎng)卡名-f<capturefilter>抓包過濾表達式-s<snaplen>配置抓到的包被截取的長度，默認為65535-p抓包時不使用混雜模式-y<linktype>鏈路層類型-D顯示當前接口信息-L顯示支持的鏈路層類型-S打印每個接口每秒的計數(shù)器統(tǒng)計信息-M用于加上-D,-L,and-S參數(shù)時，減少機器可讀的輸出CompanyLogowireshark命令行工具-dumpcap2.停止條件類-c<packetcount>在抓到<packetcount>個包后停止抓包，默認為持續(xù)抓包。-a<autostopcond.>duration:NUM為在NUM秒后停止抓包；filesize:NUM為在抓到NUMKB的包后停止抓包；files:NUM為在抓包文件為NUM個后停止抓包。3.輸出類

-w<filename>要保存的文件名-b<ringbufferopt.>duration:NUM為在NUM秒后存下一個文件；filesize:NUM為在NUMKB后存下一個文件；files:NUM-ringbuffer:replaceafterNUMfiles。

-n使用pcapng的格式保存。3CompanyLogowireshark命令行工具-dumpcap使用示例：1.查看當前可用網(wǎng)卡信息：dumpcap-D2.捕獲tcp，目的端口為443的流量，捕獲數(shù)量為2000個：dumpcap-ieth2-f"tcpdstport443"-c20003.捕獲8M的數(shù)據(jù)包后停止抓包：

dumpcap-i1-w/var/dumpcap/dumpcap.pcap-afilesize:80964.捕獲數(shù)據(jù)包到文件，指定文件大小為8M左右，只保留8個最新文件：dumpcap-i1-w/var/dumpcap/dumpcap.pcap-bfilesize:8096-bfiles:85.將捕獲的數(shù)據(jù)包截斷為64字節(jié)，并每秒打印一次計數(shù)器信息：dumpcap-ieth2-s64-wdumpcap.pcap-Sdumpcap-D3CompanyLogowireshark命令行工具-mergecap基本語法：mergecap[options]-w<outfile>|-<infile>[<infile>...]主要參數(shù)分類含義權(quán)作解說如下：-a將多個文件拼接成一個文件，默認為按照數(shù)據(jù)包的時間戳進行合并。-s<snaplen>將文件中的數(shù)據(jù)包均截斷為<snaplen>字節(jié)。-w<outfile>設(shè)置保存為文件名。-F<capturetype>設(shè)置保存的文件類型，默認為pcapng。-T<encaptype>設(shè)置保存文件的封裝類型，默認和原始文件類型一致。使用示例：1.按包時間戳合并兩個包文件，且封裝類型為以太網(wǎng)：mergecap-wa.pcaphttp_bak1.pcaphttp_bak2.pcap-Tether2.將兩個包文件拼接成一個文件：

mergecap-wa.pcaphttp_bak1.pcaphttp_bak2.pcap-Tether-a

3.將兩個pcap文件合并，且另外為snoop類型的文件：

mergecap-wa.snoophttp_bak1.pcaphttp_bak2.pcap-Tether-FsnoopCompanyLogowireshark命令行工具-capinfos基本語法：capinfos[options]<infile>...主要參數(shù)分類含義權(quán)作解說如下：-t打印包文件的類型-E打印包文件的封裝類型-c打印包的個數(shù)-s打印包文件的大小（單位：bytes）-d打印包所有包的總字節(jié)長度（單位：bytes）-u打印包文件中包的時間周期(單位：seconds)-a打印包文件中包的起始時間-e打印包文件中包的結(jié)束時間-y打印包文件中包的平均速率(單位：bytes/sec)-i打印包文件中包的平均速率(單位：bits/sec)-z打印包文件中包的平均字節(jié)長度(單位：bytes)-x打印包文件中包的平均速率(單位：packets/sec)使用示例：1.顯示包文件的所有信息：capinfoshttp_bak.pcapCompanyLogowireshark命令行工具-text2pcap基本語法：text2pcap[-a][-d][-D][-e<l3pid>][-h][-i<proto>][-l<typenum>][-n][-m<max-packet>][-ohex|oct|dec][-q][-s<srcport>,<destport>,<tag>][-S<srcport>,<destport>,<ppi>][-t<timefmt>][-T<srcport>,<destport>][-u<srcport>,<destport>]<infile><outfile>主要參數(shù)分類含義權(quán)作解說如下：-ohex|oct|dec配置解析方式為(h)ex，(o)ctal或(d)ecimal，默認為h。-t<timefmt>按照<timefmt>的格式將文件中包前的信息進行解析，并將該值當做該包的時間戳（將txt文件轉(zhuǎn)換為pcap包時，需在包的信息前加上一行類似HH:MM:SS的時間信息），<timefmt>格式可以為"%H:%M:%S"，也可以為"%Y-%m-%d%H:%M:%S"。-l<typenum>配置鏈路層協(xié)議類型，默認為1（以太網(wǎng)），可通過net/bpf.h文件查看各鏈路層協(xié)議類型對應的typenum。-m<max-packet>保存的pcap文件中包的最大字節(jié)長度，如果一個包字節(jié)長度大于<max-packet>，則將該包進行分割，直到分割的每個包字節(jié)長度均小于或等于<max-packet>；默認為64000。CompanyLogowireshark命令行工具-text2pcap-e<l3pid>將要保存的pcap文件所有包頭加上EthernetII的頭部，且type的值為L3PID（十六進制格式）。-i<proto>將要保存的pcap文件所有包頭加上EthernetII和IP頭部（ipv4），IP頭部的protocol為<proto>（十進制格式）。-u<srcp>,<destp>

將要保存的pcap文件所有包頭加上EthernetII、IP頭部（ipv4）以及UDP頭部，且UDP的sport為<srcp>，dport為<destp>（十進制格式）。

-T<srcp>,<destp>

將要保存的pcap文件所有包頭加上EthernetII、IP頭部（ipv4）以及TCP頭部，且T