tshark的使用

最近在使用wireshark学习网络知识，经过前辈指点知道了命令行形式的tshark,一起学习吧！环境：TShark 1.4.9window10Capture interface:译：主要参数：  -i <interface>           name or idx of interface (def: first non-loopback)  -i 设置抓包的网络接口，不设置则默认为第一个非自环接口。  -f <capture filter>      packet filter in libpcap filter syntax  -f 设定抓包过滤表达式（capture filter expression）  -s <snaplen>             packet snapshot length (def: 65535)  -s 设置每个抓包的大小，默认为65535，多于这个大小的数据将不会被捕获  -p                       don't capture in promiscuous mode   -p 设置网络接口以非混合模式工作，即只关心和本机有关的流量。  -B <buffer size>         size of kernel buffer (def: 1MB)  -B 设置内核缓冲区大小，仅对windows有效。  -y <link type>           link layer type (def: first appropriate)    -y 设置抓包的数据链路层协议，不设置则默认为-L找到的第一个协议  -D                       print list of interfaces and exit   -D 列出当前存在的网络接口。一般先用“tshark -D”查看网络接口的编号以供-i参数使用。  -L                       print list of link-layer types of iface and exit    -L 列出本机支持的数据链路层协议，供-y参数使用。  Capture stop conditions:译： 抓包停止条件  -c <packet count>        stop after n packets (def: infinite)   -c 抓取的packet数，在处理一定数量的packet后，停止抓取，程序退出。  -a <autostop condition.> duration:NUM - stop after NUM seconds                           filesize:NUM - stop this file after NUM KB                              files:NUM - stop after NUM files -a 设置tshark抓包停止向文件书写的条件，事实上是tshark在正常启动之后停止工作并返回的条件。条件写为key:value的形式，如“-a duration:5”表示tshark启动后在5秒内抓包然后停止；“-a filesize:10”表示tshark在输出文件达到10kB后停止；“-a files:n”表示tshark在写满n个文件后停止。Capture output:译. 文件输出控制 -b <ringbuffer opt.>  duration:NUM - switch to next file after NUM secs  filesize:NUM - switch to next file after NUM KB files:NUM - ringbuffer: replace after NUM files -b 设置ring buffer文件参数。ring buffer的文件名由-w参数决定。-b参数采用key:value的形式书写。“-b duration:5”表示每5秒写下一个ring buffer文件；“-b filesize:5”表示每达到5kB写下一个ring buffer文件；“-b files:7”表示ring buffer文件最多7个，周而复始地使用，如果这个参数不设定，tshark会将磁盘写满为止。Input file:文件输入 -r <infile>set the filename to read from (no pipes or stdin!) -r 设置tshark分析的输入文件。tshark既可以抓取分析即时的网络流量，又可以分析dump在文件中的数据。-r不能是命名管道和标准输入。Processing:处理类 -R <read filter> packet filter in Wireshark display filter syntax  -n     disable all name resolutions (def: all enabled)  -N <name resolve flags>  enable specific name resolution(s): "mntC"  -d <layer_type>==<selector>,<decode_as_protocol> ...                           "Decode As", see the man page for details                           Example: tcp.port==8888,http    -R 设置读取（显示）过滤表达式（read filter expression）    -n 禁止所有地址名字解析（默认为允许所有）。    -N 启用某一层的地址名字解析。“m”代表MAC层，“n”代表网络层，“t”代表传输层，“C”代表当前异步DNS查找。如果-n和-N参数同时存在，-n将被忽略。如果-n和-N参数都不写，则默认打开所有地址名字解析。    -d 将指定的数据按有关协议解包输出。如要将tcp 8888端口的流量按http解包，应该写为“-d tcp.port==8888,http”。6. 输出类    -w 设置raw数据的输出文件。这个参数不设置，tshark将会把解码结果输出到stdout。“-w-”表示把raw输出到stdout。如果要把解码结果输出到文件，使用重定向“>”而不要-w参数。    -F 设置输出raw数据的格式，默认为libpcap。“tshark -F”会列出所有支持的raw格式。    -V 设置将解码结果的细节输出，否则解码结果仅显示一个packet一行的summary。    -x 设置在解码输出结果中，每个packet后面以HEX dump的方式显示具体数据。    -T 设置解码结果输出的格式，包括text,ps,psml和pdml，默认为text。    -t 设置解码结果的时间格式。“ad”表示带日期的绝对时间，“a”表示不带日期的绝对时间，“r”表示从第一个包到现在的相对时间，“d”表示两个相邻包之间的增量时间（delta）。    -S 在向raw文件输出的同时，将解码结果打印到控制台。    -l 在处理每个包时即时刷新输出。    -X 扩展项。    -q 设置安静的stdout输出（例如做统计时）    -z 设置统计参数。7. 其它    -h 显示命令行帮助。    -v 显示tshark的版本信息。    -o 重载选项。

-b