wireshark的命令行工具 tshark

类似的命令行抓包工具还有tcpdump。用法都是大同小异。感兴趣的可以看看历史文章，前面都是讲过的。

安装

在Linux中我们可以用apt命令直接进行安装。

apt-get install tshark 

常用命令说明

使用实例

抓取指定网卡

抓取通过eth0网卡的实时数据包

tshark -i eth0 

加上-V之后会显示信息的数据包信息，效果如下图

规则过滤

获取22端口的数据

tshark -f 'port 22' -i eth0

抓取来自10.1.1.1的数据流

tshark -f 'src host 10.1.1.1' -i eth0

抓取发到02:0A:42:23:41:AC的数据流

tshark -f 'ether dst 02:0A:42:23:41:AC' -i eth0

数据保存

利用-w将抓到的数据包保存为文件，借助wireshark进行分析。

tshark -i eth0 -w test.pcap

读取文件

利用-r读取保存的抓包文件

tshark -r test.pcap