tshark功能.docx

tshark命令2011-12-16 10:56Ethereal是一个很流行的开源sniffer，支持包括solaris在内的很多平台。2006年初，主导Ethereal源码的大牛Gerald Combs跳槽到了CACE公司。原来“Ethereal”的商标就不能用了。伟大的开源项目如果因此而over，不免同好者唏嘘。怎么办？Combs等人只得舍弃人气既旺的Ethereal名号，将项目更名为Wireshark。它吸引了大多数原来Ethereal的contributor，从Ethereal的fork点0.99.1开始，继续添加无数令人兴奋的新功能。这个互联网的放大镜，展现给了我们一个生动却又枯燥，温馨伴着冷漠，充满智慧的流量和阴谋的机关，不舍虚构而又看似真实的“以太”世界。Ethereal的玩法如大多sniffer。更有趣之处在于它提供了命令行的抓包程序tethereal（现在改名为tshark）等一系列命令行工具，能够无缝地融入unix/windows脚本语言，使嗅探、分析的工作更得强援。tethereal/tshark位于图形化软件的相同目录内。和大多数unix脚本一样，它都提供了比较翔实的man page（个人认为，可惜例子还是少了一点）。以下试验均基于windows平台的Wireshark，版本0.99.3。基本语法：tshark?[?-a?capture?autostop?condition?]?... [?-b?capture?ring?buffer?option]?... [?-B?capture?buffer?size?(Win32?only)?]??[?-c?capture?packet?count?] [?-d?layer?type==selector,decode-as?protocol?] [?-D?] [?-f?capture?filter?] [?-F?file?format?] [?-h?] [?-i?capture?interface|-?] [?-l?] [?-L?] [?-n?] [?-N?name?resolving?flags?] [?-o?preference?setting?]?... [?-p?] [?-q?] [?-r?infile?] [?-R?read?(display)?filter?] [?-s?capture?snaplen?] [?-S?] [?-t?ad|a|r|d?] [?-T?pdml|psml|ps|text?] [?-v?] [?-V?] [?-w?outfile|-?] [?-x?] [?-X?eXtension?option] [?-y?capture?link?type?] [?-z?statistics?]根据试验，参数的书写有讲究。模仿tcpdump，可以把抓包过滤表达式写在命令的最后。一般将抓包表达式用引号quote起来（在windows上是双引号），一是为了视觉方便，一是为了逃避其中字符和shell语法的冲突（如“”，“||”等）。抓包过滤表达式也可以写在-f参数的后面，注意，此时更应该使用引号或者将-f放在最后。否则，它们会认为-f（可省）后面的参数都是表达式的一部分，而导致命令格式混乱。主要参数分类含义权作解说如下：1. 抓包接口类-i?设置抓包的网络接口，不设置则默认为第一个非自环接口。 -D?列出当前存在的网络接口。在不了解OS所控制的网络设备时，一般先用“tshark -D”查看网络接口的编号以供-i参数使用。 -f?设定抓包过滤表达式（capture?filter expression）。抓包过滤表达式的写法雷同于tcpdump，可参考tcpdump man page的有关部分。 -s?设置每个抓包的大小，默认为65535，多于这个大小的数据将不会被程序记入内存、写入文件。（这个参数相当于tcpdump的-s，tcpdump默认抓包的大小仅为68） -p?设置网络接口以非混合模式工作，即只关心和本机有关的流量。 -B?设置内核缓冲区大小，仅对windows有效。 -y?设置抓包的数据链路层协议，不设置则默认为-L找到的第一个协议，局域网一般是EN10MB等。 -L?列出本机支持的数据链路层协议，供-y参数使用。???2. 抓包停止条件-c?抓取的packet数，在处理一定数量的packet后，停止抓取，程序退出。 -a?设置tshark抓包停止向文件书写的条件，事实上是tshark在正常启动之后停止工作并返回的条件。条件写为test:value的形式，如“-a duration:5”表示tshark启动后在5秒内抓包然后停止；“-a filesize:10”表示tshark在输出文件达到10kB后停止；“-a files:n”表示tsh