wireshark命令行工具介紹

Embedwaywireshark命令行工具列表工具名稱功能說明tsharkcapturinganddisplayingpacketseditcap

Editand/ortranslatetheformatofcapturefilesdumpcapnetworktrafficdumptoolmergecap

MergingmultiplecapturefilesintoonecapinfosPrintinformationaboutcapturefilestext2pcapConvertingASCIIhexdumpstonetworkcapturesCompanyLogowireshark命令行工具-tshark基本語法：tshark

[-a<captureautostopcondition>]...

[-b<captureringbufferoption>]...[-B<capturebuffersize(Win32only)>][-c<capturepacketcount>][-d<layertype>==<selector>,<decode-asprotocol>][-D][-f<capturefilter>][-F<fileformat>][-h][-i<captureinterface>|-][-l][-L][-n][-N<nameresolvingflags>][-o<preferencesetting>]...[-p][-q][-r<infile>][-R<read(display)filter>][-s<capturesnaplen>][-S][-tad|a|r|d][-Tpdml|psml|ps|text][-v][-V][-w<outfile>|-][-x][-X<eXtensionoption>][-y<capturelinktype>][-z<statistics>]CompanyLogowireshark命令行工具-tshark主要參數分類含義權作解說如下：1.抓包接口類-i

設置抓包的網絡接口，不設置則默認為第一個非自環接口。-D

列出當前存在的網絡接口。在不了解OS所控制的網絡設備時，一般先用

“tshark-D”查看網絡接口的編號以供-i參數使用。-f

設定抓包過濾表達式（capturefilterexpression）。抓包過濾表達式的寫法雷同于tcpdump，可參考tcpdumpmanpage的有關部分。-s

設置每個抓包的大小，默認為65535，多于這個大小的數據將不會被程序記入內存、寫入文件。（這個參數相當于tcpdump的-s，tcpdump默認抓包的大小僅為68）-p

設置網絡接口以非混合模式工作，即只關心和本機有關的流量。-B

設置內核緩沖區大小，僅對windows有效。-y

設置抓包的數據鏈路層協議，不設置則默認為-L找到的第一個協議，局域網一般是EN10MB等。-L

列出本機支持的數據鏈路層協議，供-y參數使用。CompanyLogowireshark命令行工具-tshark2.抓包停止條件-c

抓取的packet數，在處理一定數量的packet后，停止抓取，程序退出。-a

設置tshark抓包停止向文件書寫的條件，事實上是tshark在正常啟動之后停止工作并返回的條件。條件寫為test:value的形式，如“-aduration:5”表示tshark啟動后在5秒內抓包然后停止；“-afilesize:10”表示tshark在輸出文件達到10kB后停止；“-afiles:n”表示tshark在寫滿n個文件后停止。（windows版的tshark0.99.3用參數“-afiles:n”不起作用——會有無數多個文件生成。由于-b參數有自己的files參數，所謂“和-b的其它參數結合使用”無從說起。這也許是一個bug，或tshark的manpage的書寫有誤。）3.文件輸出控制-b

設置ringbuffer文件參數。ringbuffer的文件名由-w參數決定。-b參數采用test:value的形式書寫。“-bduration:5”表示每5秒寫下一個ringbuffer文件；“-bfilesize:5”表示每達到5kB寫下一個ringbuffer文件；“-bfiles:7”表示ringbuffer文件最多7個，周而復始地使用，如果這個參數不設定，tshark會將磁盤寫滿為止。CompanyLogowireshark命令行工具-tshark4.文件輸入-r

設置tshark分析的輸入文件。tshark既可以抓取分析即時的網絡流量，又可以分析dump在文件中的數據。-r不能是命名管道和標準輸入。5.處理類-R

設置讀取（顯示）過濾表達式（readfilterexpression）。不符合此表達式的流量同樣不會被寫入文件。注意，讀取（顯示）過濾表達式的語法和底層相關的抓包過濾表達式語法不相同，它的語法表達要豐富得多，請參考/docs/dfref/和/docs/mans/ethereal-filter.4.html。類似于抓包過濾表達式，在命令行使用時最好將它們quote起來。-n

禁止所有地址名字解析（默認為允許所有）。-N

啟用某一層的地址名字解析。“m”代表MAC層，“n”代表網絡層，“t”代表傳輸層，“C”代表當前異步DNS查找。如果-n和-N參數同時存在，-n將被忽略。如果-n和-N參數都不寫，則默認打開所有地址名字解析。-d

將指定的數據按有關協議解包輸出。如要將tcp8888端口的流量按http解包，應該寫為“-dtcp.port==8888,http”。注意選擇子和解包協議之間不能留空格。CompanyLogowireshark命令行工具-tshark6.輸出類-w

設置raw數據的輸出文件。這個參數不設置，tshark將會把解碼結果輸出到stdout。“-w-”表示把raw輸出到stdout。如果要把解碼結果輸出到文件，使用重定向“>”而不要-w參數。-F

設置輸出raw數據的格式，默認為libpcap。“tshark-F”會列出所有支持的raw格式。-V

設置將解碼結果的細節輸出，否則解碼結果僅顯示一個packet一行的summary。-x

設置在解碼輸出結果中，每個packet后面以HEXdump的方式顯示具體數據。-T

設置解碼結果輸出的格式，包括text,ps,psml和pdml，默認為text。-t

設置解碼結果的時間格式。“ad”表示帶日期的絕對時間，“a”表示不帶日期的絕對時間，“r”表示從第一個包到現在的相對時間，“d”表示兩個相鄰包之間的增量時間（delta）。-S

在向raw文件輸出的同時，將解碼結果打印到控制臺。-l

在處理每個包時即時刷新輸出。-X

擴展項。-q

設置安靜的stdout輸出（例如做統計時）-z

設置統計參數。CompanyLogowireshark命令行工具-tshark6.輸出類-w

設置raw數據的輸出文件。這個參數不設置，tshark將會把解碼結果輸出到stdout。“-w-”表示把raw輸出到stdout。如果要把解碼結果輸出到文件，使用重定向“>”而不要-w參數。-F

設置輸出raw數據的格式，默認為libpcap。“tshark-F”會列出所有支持的raw格式。-V

設置將解碼結果的細節輸出，否則解碼結果僅顯示一個packet一行的summary。-x

設置在解碼輸出結果中，每個packet后面以HEXdump的方式顯示具體數據。-T

設置解碼結果輸出的格式，包括text,ps,psml和pdml，默認為text。-t

設置解碼結果的時間格式。“ad”表示帶日期的絕對時間，“a”表示不帶日期的絕對時間，“r”表示從第一個包到現在的相對時間，“d”表示兩個相鄰包之間的增量時間（delta）。-S

在向raw文件輸出的同時，將解碼結果打印到控制臺。-l

在處理每個包時即時刷新輸出。-X

擴展項。-q

設置安靜的stdout輸出（例如做統計時）-z

設置統計參數。CompanyLogowireshark命令行工具-tshark使用示例：1.查詢當前系統可以捕獲的借口tshark-D2.指定網卡抓包，且指定抓包數目及類型tshark-i1-c2000-f"tcpdstport443"說明：捕獲tcp，目的端口為443的流量，捕獲數量為2000個。3.將抓到的包寫入文件，且指定文件的大小和數量tshark-i1-w/var/tshark/tshark.log-bfilesize:8096-bfiles:8說明：運行tshark來捕獲數據包到文件，指定文件大小為8M左右，只保留8個最新文件，一邊對采集的文件作進一步分析處理。4.轉換包文件格式tshark-rhttp.pcap-whttp.cap將pcap格式的包文件另存為cap格式的包文件。5.過濾某包文件中的數據包tshark-rhttp_bak.pcap-R"tcp.dstport==80"-whttp.cap過濾包文件中所有TCP協議目的端口為80的數據包，并將過濾的數據包另存為其他包文件。CompanyLogowireshark命令行工具-editcap基本語法：editcap[options]...<infile><outfile>[<packet#>[-<packet#>]...]主要參數分類含義權作解說如下：1.包選擇類

-r保留選擇的包；默認為刪除。-A<starttime>選擇所有包的時間戳大于該時間的包。

-B<stoptime>選擇所有包的時間戳小于該時間的包。2.刪除重復包類-d

刪除重復的包（默認5個內進行比對）。-D<dupwindow>

刪除重復的包，并指定在<dupwindow>個包內進行比對

<dupwindow>的范圍為0-1000000。-w<duptimewindow>

刪除重復的包，并指定時間在<duptimewindow>之前的數據包才做重復刪除操作。CompanyLogowireshark命令行工具-editcap3.處理類-s<snaplen>將數據包截斷成長度為<snaplen>的數據包。-C<choplen>將包尾的<choplen>個字節砍掉。-t<timeadjustment>調整包的時間戳;<timeadjustment>即可以為正數，也可以為負數。-E<errorprobability>按照<errorprobability>的比例隨機制造錯包，例如<errorprobability>為0.05，則包文件中5%的包會隨機被配置為各種錯包。4.輸出類-c<packetsperfile>按包個數分割包文件，如<packetsperfile>為1000，則將原始包文件分割成多個文件，每個文件的包個數為1000，當然最后一個文件的包數可以小于等于1000.-i<secondsperfile>按時間分割包文件，如<secondsperfile>為10，則每個被分割的文件中的包時間戳均在10s內，且每個包的時間戳又會從0開始.-F<capturetype>設置輸出文件的格式，默認為pcapng。-T<encaptype>設置輸出文件中包封裝的類型，默認和原始包封裝類型一致。是否445444地方3CompanyLogowireshark命令行工具-editcap使用示例：1.將數據包截斷為64字節長度，且轉換為snoop的格式：editcap-s64-Fsnoopcapture.pcapshortcapture.snoop2.刪除原始文件中的第1000個數據包：editcapcapture.pcapsans1000.pcap10003.提取原始文件中的第200到750個包：editcap-rcapture.pcapsmall.pcap200-7504.提取原始文件中的第1,5,10to20and30to40個包：editcap-rcapture.pcapselect.pcap1510-2030-405.刪除與前面4個包中有重復的包：editcap-dcapture.pcapdedup.pcap6.刪除與前面100個包中有重復的包：editcap-D101capture.pcapdedup.pcap7.是原始文件中5%的包隨機變為錯包：editcap-E0.05capture.pcapcapture_error.pcap是否445444地方3CompanyLogowireshark命令行工具-dumpcap基本語法：dumpcap[options]...主要參數分類含義權作解說如下：1.抓包類-i<interface>指定抓包網卡名-f<capturefilter>抓包過濾表達式-s<snaplen>配置抓到的包被截取的長度，默認為65535-p抓包時不使用混雜模式-y<linktype>鏈路層類型-D顯示當前接口信息-L顯示支持的鏈路層類型-S打印每個接口每秒的計數器統計信息-M用于加上-D,-L,and-S參數時，減少機器可讀的輸出CompanyLogowireshark命令行工具-dumpcap2.停止條件類-c<packetcount>在抓到<packetcount>個包后停止抓包，默認為持續抓包。-a<autostopcond.>duration:NUM為在NUM秒后停止抓包；filesize:NUM為在抓到NUMKB的包后停止抓包；files:NUM為在抓包文件為NUM個后停止抓包。3.輸出類

-w<filename>要保存的文件名-b<ringbufferopt.>duration:NUM為在NUM秒后存下一個文件；filesize:NUM為在NUMKB后存下一個文件；files:NUM-ringbuffer:replaceafterNUMfiles。

-n使用pcapng的格式保存。3CompanyLogowireshark命令行工具-dumpcap使用示例：1.查看當前可用網卡信息：dumpcap-D2.捕獲tcp，目的端口為443的流量，捕獲數量為2000個：dumpcap-ieth2-f"tcpdstport443"-c20003.捕獲8M的數據包后停止抓包：

dumpcap-i1-w/var/dumpcap/dumpcap.pcap-afilesize:80964.捕獲數據包到文件，指定文件大小為8M左右，只保留8個最新文件：dumpcap-i1-w/var/dumpcap/dumpcap.pcap-bfilesize:8096-bfiles:85.將捕獲的數據包截斷為64字節，并每秒打印一次計數器信息：dumpcap-ieth2-s64-wdumpcap.pcap-Sdumpcap-D3CompanyLogowireshark命令行工具-mergecap基本語法：mergecap[options]-w<outfile>|-<infile>[<infile>...]主要參數分類含義權作解說如下：-a將多個文件拼接成一個文件，默認為按照數據包的時間戳進行合并。-s<snaplen>將文件中的數據包均截斷為<snaplen>字節。-w<outfile>設置保存為文件名。-F<capturetype>設置保存的文件類型，默認為pcapng。-T<encaptype>設置保存文件的封裝類型，默認和原始文件類型一致。使用示例：1.按包時間戳合并兩個包文件，且封裝類型為以太網：mergecap-wa.pcaphttp_bak1.pcaphttp_bak2.pcap-Tether2.將兩個包文件拼接成一個文件：

mergecap-wa.pcaphttp_bak1.pcaphttp_bak2.pcap-Tether-a

3.將兩個pcap文件合并，且另外為snoop類型的文件：

mergecap-wa.snoophttp_bak1.pcaphttp_bak2.pcap-Tether-FsnoopCompanyLogowireshark命令行工具-capinfos基本語法：capinfos[options]<infile>...主要參數分類含義權作解說如下：-t打印包文件的類型-E打印包文件的封裝類型-c打印包的個數-s打印包文件的大小（單位：bytes）-d打印包所有包的總字節長度（單位：bytes）-u打印包文件中包的時間周期(單位：seconds)-a打印包文件中包的起始時間-e打印包文件中包的結束時間-y打印包文件中包的平均速率(單位：bytes/sec)-i打印包文件中包的平均速率(單位：bits/sec)-z打印包文件中包的平均字節長度(單位：bytes)-x打印包文件中包的平均速率(單位：packets/sec)使用示例：1.顯示包文件的所有信息：capinfoshttp_bak.pcapCompanyLogowireshark命令行工具-text2pcap基本語法：text2pcap[-a][-d][-D][-e<l3pid>][-h][-i<proto>][-l<typenum>][-n][-m<max-packet>][-ohex|oct|dec][-q][-s<srcport>,<destport>,<tag>][-S<srcport>,<destport>,<ppi>][-t<timefmt>][-T<srcport>,<destport>][-u<srcport>,<destport>]<infile><outfile>主要參數分類含義權作解說如下：-ohex|oct|dec配置解析方式為(h)ex，(o)ctal或(d)ecimal，默認為h。-t<timefmt>按照<timefmt>的格式將文件中包前的信息進行解析，并將該值當做該包的時間戳（將txt文件轉換為pcap包時，需在包的信息前加上一行類似HH:MM:SS的時間信息），<timefmt>格式可以為"%H:%M:%S"，也可以為"%Y-%m-%d%H:%M:%S"。-l<typenum>配置鏈路層協議類型，默認為1（以太網），可通過net/bpf.h文件查看各鏈路層協議類型對應的typenum。-m<max-packet>保存的pcap文件中包的最大字節長度，如果一個包字節長度大于<max-packet>，則將該包進行分割，直到分割的每個包字節長度均小于或等于<max-packet>；默認為64000。CompanyLogowireshark命令行工具-text2pcap-e<l3pid>將要保存的pcap文件所有包頭加上EthernetII的頭部，且type的值為L3PID（十六進制格式）。-i<proto>將要保存的pcap文件所有包頭加上EthernetII和IP頭部（ipv4），IP頭部的protocol為<proto>（十進制格式）。-u<srcp>,<destp>

將要保存的pcap文件所有包頭加上EthernetII、IP頭部（ipv4）以及UDP頭部，且UDP的sport為<srcp>，dport為<destp>（十進制格式）。

-T<srcp>,<destp>

將要保存的pcap文件所有包頭加上EthernetII、IP頭部（ipv4）以及TCP頭部，且T