抓包时采用下列两种命令:
tcpdump –s 0 –i eth0 host IP1 and IP2 and port 5060 and 5080 –v –w file1.pcap
与
tcpdump –s 0 –i eth0 host IP1 –v –w file2.pcap
很显然在同样的时间里第1种抓包所得的file1.pcap的大小远小于file2.pcap的大小。
wireshark如何只保存显示过滤器筛选的部分报文?抓包时没有严格设置过滤条件,导致文件过大,如何只保存想要的部分?
这里介绍几种方法,都是通过File—Save As来完成的:
1、先用filter进行过滤,然后File——Save As,Packet Range里面选择Displayed,然后保存。
2、如果想保存从第2001个到第3000个这1000个包,可以在2001个包上点右键选择Mark Packet(toggle),在第3000个包上点右键选择Mark Packet(toggle),然后File——Save As,Packet Range里面,选择First to last marked,然后保存。或者不用标记,保存的时候选择Range,填上:2001-3000,然后保存。
3、如果只想保存几个特定的包,也可以在你要的每个Packet上点右键,选择Mark Packet(toggle),然后File——Save As,Packet Range里面选择Marked packets,然后保存。
时间: 2024-10-12 18:37:34