当前位置：首页 > 电脑教程 > 正文

tshark命令如何写？

admin
电脑教程
2025-06-12
6

tshark是 Wireshark的命令行抓包工具，基本用法： tshark -i 实时抓包， -w 保存， -r 读取分析， -Y 筛选流量。

tshark命令详解：从抓包到分析的终极指南

tshark是Wireshark的命令行版本，专为网络分析、故障排查和安全审计设计，作为网络工程师和安全专家的瑞士军刀，它能在无图形界面的服务器环境中高效工作,以下是tshark的核心用法：

基础抓包操作

# 捕获eth0网卡流量（持续） tshark -i eth0 # 捕获指定数量包（10个） tshark -c 10 # 捕获特定协议流量（如HTTP） tshark -Y "http" # 同时捕获多个网卡 tshark -i eth0 -i wlan0

高级过滤技巧

# IP地址过滤（源/目的） tshark -Y "ip.src == 192.168.1.1 || ip.dst == 10.0.0.1" # 端口过滤（TCP/UDP） tshark -Y "tcp.port == 443 || udp.port == 53" # 复合条件过滤（HTTP POST请求） tshark -Y "http.request.method == POST && frame contains 'password'" # VLAN过滤 tshark -Y "vlan.id == 100"

输出格式定制

# 显示指定字段（时间戳、源IP、目的IP） tshark -T fields -e frame.time -e ip.src -e ip.dst # JSON格式输出（适合自动化处理） tshark -T json # 统计TCP流会话 tshark -qz conv,tcp # 提取HTTP文件 tshark -Y "http.response" --export-objects http,./downloads/

文件处理技巧

# 读取pcap文件分析 tshark -r capture.pcap -Y "dns" # 合并多个抓包文件 tshark -r file1.pcap -r file2.pcap -w merged.pcap # 按时间分割文件（每300秒） tshark -b duration:300 -w output.pcap # 提取特定会话流量 tshark -r input.pcap -Y "tcp.stream eq 5" -w stream5.pcap

性能优化参数

# 设置缓冲区大小（128MB） tshark -B 128 # 多文件循环缓存（100个文件x100MB） tshark -b filesize:100 -b files:100 -w rotating.pcap # 限制抓包速率（1000包/秒） tshark -l -s 0 -t ad -L -n -i eth0 -c 1000

典型应用场景

安全事件分析

tshark -r attack.pcap -Y "tcp.flags.syn==1 && tcp.flags.ack==0" | awk '{print $3}' | sort | uniq -c

网络性能诊断

tshark命令如何写？第1张

数据提取

# 提取所有URL tshark -r web.pcap -Y http.request -T fields -e http.host -e http.request.uri

协议分布统计

tshark -r traffic.pcap -q -z io,phs

专业技巧

解码特定协议：-d <layer_type>==<selector>,<decode_as_protocol> 强制解码端口为指定协议
着色规则：使用--color参数配合过滤条件高亮关键流量
时间精度：-t ad（绝对时间带日期）或-t r（相对时间）
名称解析控制：

-n # 禁用所有名称解析 -N m # 仅解析MAC地址
TShark + 脚本整合：
import subprocess output = subprocess.check_output(["tshark", "-r", "data.pcap", "-T", "json"])