使用tshark进行数据包分析

选项说明Options

  • -r 读取数据包
  • -C 选择对应的配置文件
  • -d 解码为。。。
  • -D 通过行进行打印输出
  • -e 定义需要打印的行内容
  • -E 定义具体的打印格式
  • -T 定义具体的打印方式

命令tshark -d <layer type>==<selector>,<decode-as protocol>

tshark -r vmx.cap -d tcp.port==446,http

命令注解

在一些分析中可能会遇到接口信息没有采用标准的类型所以可以通过-d选项将其解码为特定的协议。

命令

tshark -r vmx.cap -n -q -z conv,ip | more

输出

================================================================================
IPv4 Conversations
Filter:<No Filter>
                                               |       <-      | |       ->      | |     Total     |    Relative    |   Duration   |
                                               | Frames  Bytes | | Frames  Bytes | | Frames  Bytes |      Start     |              |
10.195.4.41          <-> 10.1.8.130             45659   7028815   51959  35447192   97618  42476007     0.000000000        59.9950
================================================================================

命令

tshark -r vmx.cap -n -q -z conv,tcp | more

输出

================================================================================
TCP Conversations
Filter:<No Filter>
                                               |       <-      | |       ->      | |     Total     |    Relative    |   Duration   |
                                               | Frames  Bytes | | Frames  Bytes | | Frames  Bytes |      Start     |              |
10.1.8.130:48530     <-> 10.195.4.41:446           48     59974      20      2046      68     62020    33.202062959         0.4118
10.1.8.130:33358     <-> 10.195.4.41:446           23     25884      11      1519      34     27403    47.077873979         0.3215
10.1.8.130:38756     <-> 10.195.4.41:446           23     26021      11      1519      34     27540    38.824171939         0.3706
10.1.8.130:57689     <-> 10.195.4.41:446           23     25963      11      1520      34     27483    24.038616709         0.1452
10.1.8.130:50477     <-> 10.195.4.41:446           22     25872      12      1566      34     27438    23.735327709         0.2429
10.1.8.130:40895     <-> 10.195.4.41:446           22     25369      11      1538      33     26907    58.201053489         0.4079
10.1.8.130:36051     <-> 10.195.4.41:446           23     27147      10      1426      33     28573    52.082732009         0.3124

命令

tshark -r vmx.cap -q -n -t ad -z follow,tcp,ascii,10.1.8.130:56087,10.195.4.41:446 | more

输出

===================================================================
Follow: tcp,ascii
Filter: ((ip.src eq 10.1.8.130 and tcp.srcport eq 56087) and (ip.dst eq 10.195.4.41 and tcp.dstport eq 446)) or ((ip.src eq 10.195.4.41 and tcp.srcport eq 446) and (ip.dst eq 10.1.8.130 and tcp.dstport eq 56087))
Node 0: 10.1.8.130:56087
Node 1: 10.195.4.41:446
603
POST /vmx  HTTP/1.0
Host: :
Content-Type: text/xml;charset=utf-8
Content-Length: 00515

<?xml version="1.0" encoding="UTF-8"?><VMX_ROOT><VMX_HEADER><MSGID>VMX.ACCT.STMT.INQ</MSGID><VERSION>C8V2</VERSION><CLIENTID>08682</CLIENTID><CORRELID></CORRELID><CONTEXT></CONTEXT><NAME></NAME><TermJourNo>000857083955</TermJourNo><TermId>85000001</TermId></VMX_HEADER><VMX_MSGIN><CONTEXT></CONTEXT><NAME></NAME><ORG>102</ORG><ACCT>3568390051948787</ACCT><SVC_TYPE>S</SVC_TYPE><FOREIGN_USE></FOREIGN_USE><STATEMENT_DATE>2012-10-15</STATEMENT_DATE><STATEMENT_NBR_MONTHS></STATEMENT_NBR_MONTHS></VMX_MSGIN></VMX_ROOT>
        1280
HTTP/1.1 200 OK
Date: Thu, 23 May 2013 07:30:31 GMT
Server: Apache-Coyote/1.1
Content-Length: 2215
Connection: close
Content-Type: text/plain

命令

tshark -r vmx.cap -q -n -t ad -z expert

支持的选项内容error,warn,note,chat

可以配置过滤器过滤所需内容

输出

Warns (7640)
=============
   Frequency      Group           Protocol  Summary
        3312   Sequence                TCP  Previous segment not captured (common at capture start)
        2528   Sequence                TCP  This frame is a (suspected) out-of-order segment
        1800   Sequence                TCP  ACKed segment that wasn‘t captured (common at capture start)

Notes (1231)
=============
   Frequency      Group           Protocol  Summary
          67   Sequence                TCP  Duplicate ACK (#1)
          13   Sequence                TCP  TCP keep-alive segment
         964   Sequence                TCP  A new tcp session is started with the same ports as an earlier session in this trace
          70   Sequence                TCP  This frame is a (suspected) spurious retransmission
         117   Sequence                TCP  This frame is a (suspected) retransmission

Chats (38800)
=============
   Frequency      Group           Protocol  Summary
        7823   Sequence                TCP  Connection establish request (SYN): server port 446
        7805   Sequence                TCP  Connection establish acknowledge (SYN+ACK): server port 446
       15573   Sequence                TCP  Connection finish (FIN)
        7499   Sequence               HTTP  HTTP/1.1 200 OK\r\n
          79   Sequence                TCP  TCP window update
          21   Sequence               HTTP  POST /vmx  HTTP/1.0\n

命令

tshark -r vmx.cap -q -n -t ad -z io,phs

输出

===================================================================
Protocol Hierarchy Statistics
Filter:

eth                                      frames:97618 bytes:42476007
  ip                                     frames:97618 bytes:42476007
    tcp                                  frames:97618 bytes:42476007
      data                               frames:8158 bytes:5159676
      http                               frames:6254 bytes:4807267
        xml                              frames:6254 bytes:4807267
          tcp.segments                   frames:5545 bytes:4140344
      tcp.segments                       frames:1267 bytes:1396103
        http                             frames:1267 bytes:1396103
          xml                            frames:1266 bytes:1394931

===================================================================

命令

tshark -r vmx.cap -q -n -t ad -z io,stat,1

选项

可以添加具体的过滤器

输出

=========================================
| IO Statistics                         |
|                                       |
| Duration: 59.995032 secs              |
| Interval:  1 secs                     |
|                                       |
| Col 1: Frames and bytes               |
|---------------------------------------|
|                     |1                |
| Date and time       | Frames |  Bytes |
|---------------------------------------|
| 2013-05-23 15:31:15 |   1345 | 538915 |
| 2013-05-23 15:31:16 |   1540 | 639540 |
| 2013-05-23 15:31:17 |   2005 | 809226 |
| 2013-05-23 15:31:18 |   2109 | 905048 |
| 2013-05-23 15:31:19 |   1609 | 735785 |
| 2013-05-23 15:31:20 |   1725 | 783847 |
| 2013-05-23 15:31:21 |   1390 | 612697 |

| 2013-05-23 15:31:22 |   1338 | 591380 |

过滤TCP三次握手的数据包信息

tshark -r vmx.cap -q -n -t ad -z io,stat,1,"COUNT(tcp.flags)tcp.flags==0x02","COUNT(tcp.flags)tcp.flags==0x12"

==========================================
| IO Statistics                          |
|                                        |
| Duration: 59.995032 secs               |
| Interval:  1 secs                      |
|                                        |
| Col 1: COUNT(tcp.flags)tcp.flags==0x02 |
|     2: COUNT(tcp.flags)tcp.flags==0x12 |
|----------------------------------------|
|                     |1      |2      |  |
| Date and time       | COUNT | COUNT |  |
|-------------------------------------|  |
| 2013-05-23 15:31:15 |   114 |   114 |  |
| 2013-05-23 15:31:16 |   125 |   121 |  |
| 2013-05-23 15:31:17 |   162 |   163 |  |
| 2013-05-23 15:31:18 |   168 |   169 |  |
| 2013-05-23 15:31:19 |   126 |   127 |  |
| 2013-05-23 15:31:20 |   130 |   127 |  |
| 2013-05-23 15:31:21 |   113 |   114 |  |
| 2013-05-23 15:31:22 |   104 |   106 |  |
| 2013-05-23 15:31:23 |   122 |   121 |  |

通过过滤统计TCP通讯的单方向的平局窗口大小最大窗口最小窗口

tshark -r vmx.cap -q -n -t ad -z io,stat,1,"AVG(tcp.window_size)tcp.window_size && tcp.srcport==446","MAX(tcp.window_size)tcp.window_size && tcp.srcport==446","MIN(tcp.window_size)tcp.window_size && tcp.srcport==446" | more

==================================================================
| IO Statistics                                                  |
|                                                                |
| Duration: 59.995032 secs                                       |
| Interval:  1 secs                                              |
|                                                                |
| Col 1: AVG(tcp.window_size)tcp.window_size && tcp.srcport==446 |
|     2: MAX(tcp.window_size)tcp.window_size && tcp.srcport==446 |
|     3: MIN(tcp.window_size)tcp.window_size && tcp.srcport==446 |
|----------------------------------------------------------------|
|                     |1      |2      |3      |                  |
| Date and time       |  AVG  |  MAX  |  MIN  |                  |
|---------------------------------------------|                  |
| 2013-05-23 15:31:15 | 57704 | 65535 | 17520 |                  |
| 2013-05-23 15:31:16 | 58380 | 65535 | 17520 |                  |
| 2013-05-23 15:31:17 | 58106 | 65535 | 17520 |                  |
| 2013-05-23 15:31:18 | 58296 | 65535 | 17520 |                  |
| 2013-05-23 15:31:19 | 58413 | 65535 | 17520 |                  |
| 2013-05-23 15:31:20 | 59013 | 65535 | 17520 |                  |
| 2013-05-23 15:31:21 | 58107 | 65535 | 17520 |                  |
| 2013-05-23 15:31:22 | 58379 | 65535 | 17520 |                  |
| 2013-05-23 15:31:23 | 58254 | 65535 | 17520 |                  |
| 2013-05-23 15:31:24 | 58112 | 65535 | 17520 |                  |
| 2013-05-23 15:31:25 | 58611 | 65535 | 17520 |                  |
| 2013-05-23 15:31:26 | 58101 | 65535 | 17520 |                  |
| 2013-05-23 15:31:27 | 58229 | 65535 | 17520 |                  |

使用tshark进行数据包分析

时间： 2024-10-21 04:39:58

  使用tshark进行数据包分析的相关文章

网络数据包分析 网卡Offload

http://blog.nsfocus.net/network-packets-analysis-nic-offload/ 对于网络安全来说,网络传输数据包的捕获和分析是个基础工作,绿盟科技研究员在日常工作中,经常会捕获到一些大小远大于MTU值的数据包,经过分析这些大包的特性,发现和网卡的offload特性有关,本文对网卡Offload技术做简要描述. 文章目录 网络分片技术 网卡offload机制 发送模式 接收模式 网卡offload模式的设置 Linux windows 网卡Offload

tcprstat源码分析之tcp数据包分析

tcprstat是percona用来监测mysql响应时间的.不过对于任何运行在TCP协议上的响应时间,都可以用. tcprstat和tcpdump一样,使用libpcap库进行抓包,然后再通过程序对抓取的tcp包进行分析. 1.通过分析来源ip和目标ip,看那个ip是本地ip,来判断是进来的包(请求包)还是出去的包(响应包).2.如果包的数据大小为0,那么就跳过,不再处理.数据大小为0的视为tcp控制包.3.如果数据包为进来的包(请求包),则插入一条记录到哈希表.4.如果数据包为出去的包(响应

firebug登陆之数据包分析

登陆之数据包分析 工具: python-urllib2   |  firefox+firebug或者chrome,用浏览器打开登陆页面之后,按F12键会默认打开开发者工具或者启动firebug,点击network监听数据包,下面以itune的登陆举一个例子. 1. 在浏览器中输入itunes的登陆地址:https://itunesconnect.apple.com/itc/static /login?view=1&path=%2FWebObjects%2FiTunesConnect.woa,同时

数据包分析2

VLAN 数据包分析2 实验拓扑 PC1发送一个目的是PC2的数据包,SW1的G0/1接口接收,因为G0/1是ACCESS口,属于VLAN3,所有打上VLAN 3的标签接收,SW1的G0/2接口是TRUNK,PVID为3,而PC1发送的数据包的标签也是3,所有,脱掉标签发送,SW2的G0/2接口为ACCESS口,属于VLAN3,接收到一个不带标签的数据帧,所有打上VLAN3的标签接收,SW2的G0/1接口是ACCESS ,也属于VLAN3,所有数据帧会在这个接口转发出去,因为SW2的G0/1是A

数据包分析3

数据包分析3 一．实验目的 SW1的G0/1 G0/2 接口都为hybrid 端口,G0/1属于VLAN 2 ,G0/2属于VLAN 3,两边PC想要互通,需要添加什么配置 二．实验拓扑 分析 PC1发送一个数据包,目的地址是PC2,SW1的G0/1接口为hybrid端口,将PC1的数据包打上VLAN 2的标签,接收,G0/2属于VLAN 3,所有PC1与PC2不能互通,现在,在SW1的G0/1接口添加一条配置,允许VLAN 3不带标签通过,G0/2接口添加一条允许VLAN 2的数据包不带标签通

关于数据包分析中Fragment offset(分片偏移)字段的十六进制码解读

学习数据包分析时遇到如题所述的困惑,GOOGLE&白度无果.看了RFC791对fragment offset字段的描述后经思考计算才明白.希望对有同样困惑的童鞋有所帮助.下面从截图开始说明: 如图,灰底的Fragment offset:1480那行对应的十六进制码是蓝底的0X20b9,刚开始很疑惑为何十进制的1480对应的是0x20b6,怎么算都不对啊,不知道读者您是不是遇到了这样的疑惑! 参考RFC791中相关字段的说明,才明白原来这个1480指的是偏移的实际字节而不是fragment off

WireShark数据包分析数据封装

WireShark数据包分析数据封装 数据封装(Data Encapsulation)是指将协议数据单元(PDU)封装在一组协议头和尾中的过程.在OSI七层参考模型中,每层主要负责与其它机器上的对等层进行通信.该过程是在协议数据单元(PDU)中实现的,其中每层的PDU一般由本层的协议头.协议尾和数据封装构成本文选自WireShark数据包分析实战详解清华大学出版社. 为了帮助用户更清楚的理解数据封装过程,下面通过一个实例来说明这个过程.假设某个公司局域网使用以太网,当员工从局域网的FTP服务器下

基于Jpcap的TCP/IP数据包分析(一)

基于Jpcap的TCP/IP数据包分析原作:赵新辉目 录第一章 以太网的结构和TCP/IP1.1 以太网的结构1.1.1 基于网络架构的以太网1.1.2 以太网的数据交换1.1.3 以太网帧的结构1.2 IP数据报的构成 1.2.1 IP地址1.2.2 路由1.2.3 IP数据报的构成1.2.4 其他报文结构1.3 TCP/UDP1.3.1 TCP/UDP的作用1.3.2 TCP和UDP报文的结构第二章 Jpcap类库2.1 Jpcap的使用2.1.1 Jpcap的运行环境的安装2.1.2 Jp

Wireshark数据包分析之DNS协议包解读

*此篇博客仅作为个人笔记和学习参考 DNS协议包格式 DNS资源记录类型 DNS数据包分析(查询) Domain Name System (query)[Response In: 16]Transaction ID: 0x0002 #DNS ID号#Flags: 0x0100 Standard query #标志#0... .... .... .... = Response: Message is a query ##响应信息,该值为0,表示一个DNS查询.000 0... .... ....