获取tcp流- Wireshark与Tshark的比较

Question

获取tcp流- Wireshark与Tshark的比较

3

我试图从大小为24M的捕获中获取TCPStream。我可以使用Wireshark获取它，但我需要一种没有界面的命令来获取它。

我开始尝试在小于1M的捕获中使用TShark，并且能够在相同的捕获中获得与Wireshark相等的TCPStream。在大小为24M的捕获中，我无法做到这一点。Wireshark中的TCPStream很大，并且与TShark中给出的不匹配。

我无法理解问题出在哪里。

我正在使用以下命令：tshark -r cap.pcapng -T fields -e data 有什么想法可能是问题所在？或者它与什么相关？

我也可以接受其他可以解决我的问题的解决方案。

谢谢。

- PRVS

这个可能对你很有趣。 - vlp

@PRVS 你是如何使用Wireshark检索TCPStream的？当你说输出与Wireshark和tshark不同时，大小差异是多少？它们完全不同还是只有一个文件包含更多信息？ - pchaigno

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Ulug Toprak · Accepted Answer

这可能不是最有效的方法，但这就是它。

首先将跟踪文件分解成多个文件，您可以使用Wireshark安装的editcap。使用-c设置所需的参数。这可能有更好的方法，请调查（我没有）。

现在你有多个文件，这并不真正好用，所以你需要创建一个批处理文件，在每个文件上调用tshark。打开它们应用参数并写入新文件（我再次告诉你这不是有效的）。 -r <infile> -R "这里放置您的参数" -w <outfile> 仍然不够，我们创建了一堆新文件，但最好将它们合并成一个单独的文件以方便使用，并实现比起始文件小得多的文件。对于此，我建议使用mergecap -a。 mergecap -a -w <outfile> <infile1> <infile2>......<infilen> 希望对您有所帮助。