wireshark命令行工具介绍.pptVIP

wireshark命令行工具介绍 Embedway wireshark命令行工具列表 工具名称 功能说明 tshark capturing and displaying packets editcap Edit and/or translate the format of capture files dumpcap network traffic dump tool mergecap Merging multiple capture files into one capinfos Print information about capture files text2pcap Converting ASCII hexdumps to network captures Company Logo wireshark命令行工具 - tshark 基本语法： tshark [ -a capture autostop condition ] ... [ -b capture ring buffer option] ...[ -B capture buffer size (Win32 only) ] [ -c capture packet count ][ -d layer type==selector,decode-as protocol ][ -D ][ -f capture filter ][ -F file format ][ -h ][ -i capture interface|- ][ -l ][ -L ][ -n ][ -N name resolving flags ][ -o preference setting ] ...[ -p ][ -q ][ -r infile ][ -R read (display) filter ][ -s capture snaplen ][ -S ][ -t ad|a|r|d ][ -T pdml|psml|ps|text ][ -v ][ -V ][ -w outfile|- ][ -x ][ -X eXtension option][ -y capture link type ][ -z statistics ] Company Logo wireshark命令行工具 - tshark 主要参数分类含义权作解说如下： 1. 抓包接口类 -i 设置抓包的网络接口，不设置则默认为第一个非自环接口。 -D 列出当前存在的网络接口。在不了解OS所控制的网络设备时，一般先用 “tshark-D”查看网络接口的编号以供-i参数使用。 -f 设定抓包过滤表达式（capture filterexpression）。抓包过滤表达式的写法雷同于tcpdump，可参考tcpdump manpage的有关部分。 -s 设置每个抓包的大小，默认为65535，多于这个大小的数据将不会被程序记入内存、写入文件。（这个参数相当于tcpdump的-s，tcpdump默认抓包的大小仅为68） -p 设置网络接口以非混合模式工作，即只关心和本机有关的流量。 -B 设置内核缓冲区大小，仅对windows有效。 -y 设置抓包的数据链路层协议，不设置则默认为-L找到的第一个协议，局域网一般是EN10MB等。 -L 列出本机支持的数据链路层协议，供-y参数使用。 Company Logo wireshark命令行工具 - tshark 2. 抓包停止条件 -c 抓取的packet数，在处理一定数量的packet后，停止抓取，程序退出。 -a 设置tshark抓包停止向文件书写的条件，事实上是tshark在正常启动之后停止工作并返回的条件。条件写为test:value的形式，如“-aduration:5”表示tshark启动后在5秒内抓包然后停止；“-afilesize:10”表示tshark在输出文件达到10kB后停止；“-afiles:n”表示tshark在写满n个文件后停止。（windows版的tshark0.99.3用参数“-afiles:n”不起作用——会有无数多个文件生成。由于-b参数有自己的files参数，所谓“和-b的其它参数结合使用”无从说起。这也许是一个bug，或tshark的manpage的书写有误。） 3. 文件输出控制 -b 设置ringbuffer文件参数。ringbuffer的文件名由-w参数决定。-b参数采用test:value的形式书写。“-bduration:5”表示每5秒写下一个ring buffer文件；“-bfilesize:5”表示每达到5kB写下一个ringbuffer文件；“-b files:7”表示ringbuffer文件最多7个，周而复始