wireshark命令行工具介紹

wireshark命令行工具介紹

Embedwaywireshark命令行工具列表工具名稱功能說(shuō)明tsharkcapturinganddisplayingpacketseditcap

Editand/ortranslatetheformatofcapturefilesdumpcapnetworktrafficdumptoolmergecap

MergingmultiplecapturefilesintoonecapinfosPrintinformationaboutcapturefilestext2pcapConvertingASCIIhexdumpstonetworkcapturesCompanyLogowireshark命令行工具-tshark基本語(yǔ)法：tshark

[-a<captureautostopcondition>]...

[-b<captureringbufferoption>]...[-B<capturebuffersize(Win32only)>][-c<capturepacketcount>][-d<layertype>==<selector>,<decode-asprotocol>][-D][-f<capturefilter>][-F<fileformat>][-h][-i<captureinterface>|-][-l][-L][-n][-N<nameresolvingflags>][-o<preferencesetting>]...[-p][-q][-r<infile>][-R<read(display)filter>][-s<capturesnaplen>][-S][-tad|a|r|d][-Tpdml|psml|ps|text][-v][-V][-w<outfile>|-][-x][-X<eXtensionoption>][-y<capturelinktype>][-z<statistics>]CompanyLogowireshark命令行工具-tshark主要參數(shù)分類含義權(quán)作解說(shuō)如下：1.抓包接口類-i

設(shè)置抓包的網(wǎng)絡(luò)接口，不設(shè)置則默認(rèn)為第一個(gè)非自環(huán)接口。-D

列出當(dāng)前存在的網(wǎng)絡(luò)接口。在不了解OS所控制的網(wǎng)絡(luò)設(shè)備時(shí)，一般先用

“tshark-D”查看網(wǎng)絡(luò)接口的編號(hào)以供-i參數(shù)使用。-f

設(shè)定抓包過(guò)濾表達(dá)式（capturefilterexpression）。抓包過(guò)濾表達(dá)式的寫(xiě)法雷同于tcpdump，可參考tcpdumpmanpage的有關(guān)部分。-s

設(shè)置每個(gè)抓包的大小，默認(rèn)為65535，多于這個(gè)大小的數(shù)據(jù)將不會(huì)被程序記入內(nèi)存、寫(xiě)入文件。（這個(gè)參數(shù)相當(dāng)于tcpdump的-s，tcpdump默認(rèn)抓包的大小僅為68）-p

設(shè)置網(wǎng)絡(luò)接口以非混合模式工作，即只關(guān)心和本機(jī)有關(guān)的流量。-B

設(shè)置內(nèi)核緩沖區(qū)大小，僅對(duì)windows有效。-y

設(shè)置抓包的數(shù)據(jù)鏈路層協(xié)議，不設(shè)置則默認(rèn)為-L找到的第一個(gè)協(xié)議，局域網(wǎng)一般是EN10MB等。-L

列出本機(jī)支持的數(shù)據(jù)鏈路層協(xié)議，供-y參數(shù)使用。CompanyLogowireshark命令行工具-tshark2.抓包停止條件-c

抓取的packet數(shù)，在處理一定數(shù)量的packet后，停止抓取，程序退出。-a

設(shè)置tshark抓包停止向文件書(shū)寫(xiě)的條件，事實(shí)上是tshark在正常啟動(dòng)之后停止工作并返回的條件。條件寫(xiě)為test:value的形式，如“-aduration:5”表示tshark啟動(dòng)后在5秒內(nèi)抓包然后停止；“-afilesize:10”表示tshark在輸出文件達(dá)到10kB后停止；“-afiles:n”表示tshark在寫(xiě)滿n個(gè)文件后停止。（windows版的tshark0.99.3用參數(shù)“-afiles:n”不起作用——會(huì)有無(wú)數(shù)多個(gè)文件生成。由于-b參數(shù)有自己的files參數(shù)，所謂“和-b的其它參數(shù)結(jié)合使用”無(wú)從說(shuō)起。這也許是一個(gè)bug，或tshark的manpage的書(shū)寫(xiě)有誤。）3.文件輸出控制-b

設(shè)置ringbuffer文件參數(shù)。ringbuffer的文件名由-w參數(shù)決定。-b參數(shù)采用test:value的形式書(shū)寫(xiě)?！?bduration:5”表示每5秒寫(xiě)下一個(gè)ringbuffer文件；“-bfilesize:5”表示每達(dá)到5kB寫(xiě)下一個(gè)ringbuffer文件；“-bfiles:7”表示ringbuffer文件最多7個(gè)，周而復(fù)始地使用，如果這個(gè)參數(shù)不設(shè)定，tshark會(huì)將磁盤(pán)寫(xiě)滿為止。CompanyLogowireshark命令行工具-tshark4.文件輸入-r

設(shè)置tshark分析的輸入文件。tshark既可以抓取分析即時(shí)的網(wǎng)絡(luò)流量，又可以分析dump在文件中的數(shù)據(jù)。-r不能是命名管道和標(biāo)準(zhǔn)輸入。5.處理類-R

設(shè)置讀?。@示）過(guò)濾表達(dá)式（readfilterexpression）。不符合此表達(dá)式的流量同樣不會(huì)被寫(xiě)入文件。注意，讀?。@示）過(guò)濾表達(dá)式的語(yǔ)法和底層相關(guān)的抓包過(guò)濾表達(dá)式語(yǔ)法不相同，它的語(yǔ)法表達(dá)要豐富得多，請(qǐng)參考/docs/dfref/和/docs/mans/ethereal-filter.4.html。類似于抓包過(guò)濾表達(dá)式，在命令行使用時(shí)最好將它們quote起來(lái)。-n

禁止所有地址名字解析（默認(rèn)為允許所有）。-N

啟用某一層的地址名字解析。“m”代表MAC層，“n”代表網(wǎng)絡(luò)層，“t”代表傳輸層，“C”代表當(dāng)前異步DNS查找。如果-n和-N參數(shù)同時(shí)存在，-n將被忽略。如果-n和-N參數(shù)都不寫(xiě)，則默認(rèn)打開(kāi)所有地址名字解析。-d

將指定的數(shù)據(jù)按有關(guān)協(xié)議解包輸出。如要將tcp8888端口的流量按http解包，應(yīng)該寫(xiě)為“-dtcp.port==8888,http”。注意選擇子和解包協(xié)議之間不能留空格。CompanyLogowireshark命令行工具-tshark6.輸出類-w

設(shè)置raw數(shù)據(jù)的輸出文件。這個(gè)參數(shù)不設(shè)置，tshark將會(huì)把解碼結(jié)果輸出到stdout。“-w-”表示把raw輸出到stdout。如果要把解碼結(jié)果輸出到文件，使用重定向“>”而不要-w參數(shù)。-F

設(shè)置輸出raw數(shù)據(jù)的格式，默認(rèn)為libpcap?！皌shark-F”會(huì)列出所有支持的raw格式。-V

設(shè)置將解碼結(jié)果的細(xì)節(jié)輸出，否則解碼結(jié)果僅顯示一個(gè)packet一行的summary。-x

設(shè)置在解碼輸出結(jié)果中，每個(gè)packet后面以HEXdump的方式顯示具體數(shù)據(jù)。-T

設(shè)置解碼結(jié)果輸出的格式，包括text,ps,psml和pdml，默認(rèn)為text。-t

設(shè)置解碼結(jié)果的時(shí)間格式?！癮d”表示帶日期的絕對(duì)時(shí)間，“a”表示不帶日期的絕對(duì)時(shí)間，“r”表示從第一個(gè)包到現(xiàn)在的相對(duì)時(shí)間，“d”表示兩個(gè)相鄰包之間的增量時(shí)間（delta）。-S

在向raw文件輸出的同時(shí)，將解碼結(jié)果打印到控制臺(tái)。-l

在處理每個(gè)包時(shí)即時(shí)刷新輸出。-X

擴(kuò)展項(xiàng)。-q

設(shè)置安靜的stdout輸出（例如做統(tǒng)計(jì)時(shí)）-z

設(shè)置統(tǒng)計(jì)參數(shù)。CompanyLogowireshark命令行工具-tshark6.輸出類-w

設(shè)置raw數(shù)據(jù)的輸出文件。這個(gè)參數(shù)不設(shè)置，tshark將會(huì)把解碼結(jié)果輸出到stdout。“-w-”表示把raw輸出到stdout。如果要把解碼結(jié)果輸出到文件，使用重定向“>”而不要-w參數(shù)。-F

設(shè)置輸出raw數(shù)據(jù)的格式，默認(rèn)為libpcap?！皌shark-F”會(huì)列出所有支持的raw格式。-V

設(shè)置將解碼結(jié)果的細(xì)節(jié)輸出，否則解碼結(jié)果僅顯示一個(gè)packet一行的summary。-x

設(shè)置在解碼輸出結(jié)果中，每個(gè)packet后面以HEXdump的方式顯示具體數(shù)據(jù)。-T

設(shè)置解碼結(jié)果輸出的格式，包括text,ps,psml和pdml，默認(rèn)為text。-t

設(shè)置解碼結(jié)果的時(shí)間格式?！癮d”表示帶日期的絕對(duì)時(shí)間，“a”表示不帶日期的絕對(duì)時(shí)間，“r”表示從第一個(gè)包到現(xiàn)在的相對(duì)時(shí)間，“d”表示兩個(gè)相鄰包之間的增量時(shí)間（delta）。-S

在向raw文件輸出的同時(shí)，將解碼結(jié)果打印到控制臺(tái)。-l

在處理每個(gè)包時(shí)即時(shí)刷新輸出。-X

擴(kuò)展項(xiàng)。-q

設(shè)置安靜的stdout輸出（例如做統(tǒng)計(jì)時(shí)）-z

設(shè)置統(tǒng)計(jì)參數(shù)。CompanyLogowireshark命令行工具-tshark使用示例：1.查詢當(dāng)前系統(tǒng)可以捕獲的借口tshark-D2.指定網(wǎng)卡抓包，且指定抓包數(shù)目及類型tshark-i1-c2000-f"tcpdstport443"說(shuō)明：捕獲tcp，目的端口為443的流量，捕獲數(shù)量為2000個(gè)。3.將抓到的包寫(xiě)入文件，且指定文件的大小和數(shù)量tshark-i1-w/var/tshark/tshark.log-bfilesize:8096-bfiles:8說(shuō)明：運(yùn)行tshark來(lái)捕獲數(shù)據(jù)包到文件，指定文件大小為8M左右，只保留8個(gè)最新文件，一邊對(duì)采集的文件作進(jìn)一步分析處理。4.轉(zhuǎn)換包文件格式tshark-rhttp.pcap-whttp.cap將pcap格式的包文件另存為cap格式的包文件。5.過(guò)濾某包文件中的數(shù)據(jù)包tshark-rhttp_bak.pcap-R"tcp.dstport==80"-whttp.cap過(guò)濾包文件中所有TCP協(xié)議目的端口為80的數(shù)據(jù)包，并將過(guò)濾的數(shù)據(jù)包另存為其他包文件。CompanyLogowireshark命令行工具-editcap基本語(yǔ)法：editcap[options]...<infile><outfile>[<packet#>[-<packet#>]...]主要參數(shù)分類含義權(quán)作解說(shuō)如下：1.包選擇類

-r保留選擇的包；默認(rèn)為刪除。-A<starttime>選擇所有包的時(shí)間戳大于該時(shí)間的包。

-B<stoptime>選擇所有包的時(shí)間戳小于該時(shí)間的包。2.刪除重復(fù)包類-d

刪除重復(fù)的包（默認(rèn)5個(gè)內(nèi)進(jìn)行比對(duì)）。-D<dupwindow>

刪除重復(fù)的包，并指定在<dupwindow>個(gè)包內(nèi)進(jìn)行比對(duì)

<dupwindow>的范圍為0-1000000。-w<duptimewindow>

刪除重復(fù)的包，并指定時(shí)間在<duptimewindow>之前的數(shù)據(jù)包才做重復(fù)刪除操作。CompanyLogowireshark命令行工具-editcap3.處理類-s<snaplen>將數(shù)據(jù)包截?cái)喑砷L(zhǎng)度為<snaplen>的數(shù)據(jù)包。-C<choplen>將包尾的<choplen>個(gè)字節(jié)砍掉。-t<timeadjustment>調(diào)整包的時(shí)間戳;<timeadjustment>即可以為正數(shù)，也可以為負(fù)數(shù)。-E<errorprobability>按照<errorprobability>的比例隨機(jī)制造錯(cuò)包，例如<errorprobability>為0.05，則包文件中5%的包會(huì)隨機(jī)被配置為各種錯(cuò)包。4.輸出類-c<packetsperfile>按包個(gè)數(shù)分割包文件，如<packetsperfile>為1000，則將原始包文件分割成多個(gè)文件，每個(gè)文件的包個(gè)數(shù)為1000，當(dāng)然最后一個(gè)文件的包數(shù)可以小于等于1000.-i<secondsperfile>按時(shí)間分割包文件，如<secondsperfile>為10，則每個(gè)被分割的文件中的包時(shí)間戳均在10s內(nèi)，且每個(gè)包的時(shí)間戳又會(huì)從0開(kāi)始.-F<capturetype>設(shè)置輸出文件的格式，默認(rèn)為pcapng。-T<encaptype>設(shè)置輸出文件中包封裝的類型，默認(rèn)和原始包封裝類型一致。是否445444地方3CompanyLogowireshark命令行工具-editcap使用示例：1.將數(shù)據(jù)包截?cái)酁?4字節(jié)長(zhǎng)度，且轉(zhuǎn)換為snoop的格式：editcap-s64-Fsnoopcapture.pcapshortcapture.snoop2.刪除原始文件中的第1000個(gè)數(shù)據(jù)包：editcapcapture.pcapsans1000.pcap10003.提取原始文件中的第200到750個(gè)包：editcap-rcapture.pcapsmall.pcap200-7504.提取原始文件中的第1,5,10to20and30to40個(gè)包：editcap-rcapture.pcapselect.pcap1510-2030-405.刪除與前面4個(gè)包中有重復(fù)的包：editcap-dcapture.pcapdedup.pcap6.刪除與前面100個(gè)包中有重復(fù)的包：editcap-D101capture.pcapdedup.pcap7.是原始文件中5%的包隨機(jī)變?yōu)殄e(cuò)包：editcap-E0.05capture.pcapcapture_error.pcap是否445444地方3CompanyLogowireshark命令行工具-dumpcap基本語(yǔ)法：dumpcap[options]...主要參數(shù)分類含義權(quán)作解說(shuō)如下：1.抓包類-i<interface>指定抓包網(wǎng)卡名-f<capturefilter>抓包過(guò)濾表達(dá)式-s<snaplen>配置抓到的包被截取的長(zhǎng)度，默認(rèn)為65535-p抓包時(shí)不使用混雜模式-y<linktype>鏈路層類型-D顯示當(dāng)前接口信息-L顯示支持的鏈路層類型-S打印每個(gè)接口每秒的計(jì)數(shù)器統(tǒng)計(jì)信息-M用于加上-D,-L,and-S參數(shù)時(shí)，減少機(jī)器可讀的輸出CompanyLogowireshark命令行工具-dumpcap2.停止條件類-c<packetcount>在抓到<packetcount>個(gè)包后停止抓包，默認(rèn)為持續(xù)抓包。-a<autostopcond.>duration:NUM為在NUM秒后停止抓包；filesize:NUM為在抓到NUMKB的包后停止抓包；files:NUM為在抓包文件為NUM個(gè)后停止抓包。3.輸出類

-w<filename>要保存的文件名-b<ringbufferopt.>duration:NUM為在NUM秒后存下一個(gè)文件；filesize:NUM為在NUMKB后存下一個(gè)文件；files:NUM-ringbuffer:replaceafterNUMfiles。

-n使用pcapng的格式保存。3CompanyLogowireshark命令行工具-dumpcap使用示例：1.查看當(dāng)前可用網(wǎng)卡信息：dumpcap-D2.捕獲tcp，目的端口為443的流量，捕獲數(shù)量為2000個(gè)：dumpcap-ieth2-f"tcpdstport443"-c20003.捕獲8M的數(shù)據(jù)包后停止抓包：

dumpcap-i1-w/var/dumpcap/dumpcap.pcap-afilesize:80964.捕獲數(shù)據(jù)包到文件，指定文件大小為8M左右，只保留8個(gè)最新文件：dumpcap-i1-w/var/dumpcap/dumpcap.pcap-bfilesize:8096-bfiles:85.將捕獲的數(shù)據(jù)包截?cái)酁?4字節(jié)，并每秒打印一次計(jì)數(shù)器信息：dumpcap-ieth2-s64-wdumpcap.pcap-Sdumpcap-D3CompanyLogowireshark命令行工具-mergecap基本語(yǔ)法：mergecap[options]-w<outfile>|-<infile>[<infile>...]主要參數(shù)分類含義權(quán)作解說(shuō)如下：-a將多個(gè)文件拼接成一個(gè)文件，默認(rèn)為按照數(shù)據(jù)包的時(shí)間戳進(jìn)行合并。-s<snaplen>將文件中的數(shù)據(jù)包均截?cái)酁?lt;snaplen>字節(jié)。-w<outfile>設(shè)置保存為文件名。-F<capturetype>設(shè)置保存的文件類型，默認(rèn)為pcapng。-T<encaptype>設(shè)置保存文件的封裝類型，默認(rèn)和原始文件類型一致。使用示例：1.按包時(shí)間戳合并兩個(gè)包文件，且封裝類型為以太網(wǎng)：mergecap-wa.pcaphttp_bak1.pcaphttp_bak2.pcap-Tether2.將兩個(gè)包文件拼接成一個(gè)文件：

mergecap-wa.pcaphttp_bak1.pcaphttp_bak2.pcap-Tether-a

3.將兩個(gè)pcap文件合并，且另外為snoop類型的文件：

mergecap-wa.snoophttp_bak1.pcaphttp_bak2.pcap-Tether-FsnoopCompanyLogowireshark命令行工具-capinfos基本語(yǔ)法：capinfos[options]<infile>...主要參數(shù)分類含義權(quán)作解說(shuō)如下：-t打印包文件的類型-E打印包文件的封裝類型-c打印包的個(gè)數(shù)-s打印包文件的大小（單位：bytes）-d打印包所有包的總字節(jié)長(zhǎng)度（單位：bytes）-u打印包文件中包的時(shí)間周期(單位：seconds)-a打印包文件中包的起始時(shí)間-e打印包文件中包的結(jié)束時(shí)間-y打印包文件中包的平均速率(單位：bytes/sec)-i打印包文件中包的平均速率(單位：bits/sec)-z打印包文件中包的平均字節(jié)長(zhǎng)度(單位：bytes)-x打印包文件中包的平均速率(單位：packets/sec)使用示例：1.顯示包文件的所有信息：capinfoshttp_bak.pcapCompanyLogowireshark命令行工具-text2pcap基本語(yǔ)法：text2pcap[-a][-d][-D][-e<l3pid>][-h][-i<proto>][-l<typenum>][-n][-m<max-packet>][-ohex|oct|dec][-q][-s<srcport>,<destport>,<tag>][-S<srcport>,<destport>,<ppi>][-t<timefmt>][-T<srcport>,<destport>][-u<srcport>,<destport>]<infile><outfile>主要參數(shù)分類含義權(quán)作解說(shuō)如下：-ohex|oct|dec配置解析方式為(h)ex，(o)ctal或(d)ecimal，默認(rèn)為h。-t<timefmt>按照<timefmt>的格式將文件中包前的信息進(jìn)行解析，并將該值當(dāng)做該包的時(shí)間戳（將txt文件轉(zhuǎn)換為pcap包時(shí)，需在包的信息前加上一行類似HH:MM:SS的時(shí)間信息），<timefmt>格式可以為"%H:%M:%S"，也可以為"%Y-%m-%d%H:%M:%S"。-l<typenum>配置鏈路層協(xié)議類型，默認(rèn)為1（以太網(wǎng)），可通過(guò)net/bpf.h文件查看各鏈路層協(xié)議類型對(duì)應(yīng)的typenum。-m<max-packet>保存的pcap文件中包的最大字節(jié)長(zhǎng)度，如果一個(gè)包字節(jié)長(zhǎng)度大于<max-packet>，則將該包進(jìn)行分割，直到分割的每個(gè)包字節(jié)長(zhǎng)度均小于或等于<max-packet>；默認(rèn)為64000。CompanyLogowireshark命令行工具-text2pcap-e<l3pid>將要保存的pcap文件所有包頭加上EthernetII的頭部，且type的值為L(zhǎng)3PID（十六進(jìn)制格式）。-i<proto>將要保存的pcap文件所有包頭加上EthernetII和IP頭部（ipv4），IP頭部的protocol為<proto>（十進(jìn)制格式）。-u<srcp>,<destp>

將要保存的pcap文件所有包頭加上EthernetII、IP頭部（ipv4）以及UDP頭部，且UDP的sport為<srcp>，dport為<destp>（十進(jìn)制格式）。

-T<srcp>,<destp>

將要保存的pcap文件所有包頭加上EthernetII、IP頭部（ipv4）以及TCP頭部，且T