过滤器tcpdump输出(PCAP)
过滤器tcpdump输出(PCAP)
提问于 2020-09-10 10:59:20
下面是我的PCAP文件的输出。
20:02:52.306161 192.162.70.150.58078 > 192.179.91.61.1194: P 635362993:635363048(55) ack 2046024708 win 4373 <nop,nop,timestamp 52993632 1059054949> (DF)
20:02:52.532863 192.179.91.61.1194 > 192.162.70.150.58078: . ack 55 win 32038 <nop,nop,timestamp 1059062357 52993632> (DF)
20:02:53.157004 802.1d unknown version
20:02:54.759542 arp who-has 192.168.70.34 tell 192.168.70.1
20:02:55.156980 802.1d unknown version
20:02:55.759507 arp who-has 192.168.70.6 tell 192.168.70.1
20:02:55.759540 arp who-has 192.168.70.105 tell 192.168.70.1
20:02:56.148167 192.179.91.61.1194 > 192.168.70.150.58078: P 1:56(55) ack 55 win 32038 <nop,nop,timestamp 1059065972 52993632> (DF)
20:02:56.148258 192.168.70.150.58078 > 192.179.91.61.1194: . ack 56 win 4373 <nop,nop,timestamp 52994592 1059065972> (DF)有没有办法过滤出以下模式中的内容？
Timestamp | source IP | source Port | destination IP | destination port | protocol | packet size可用命令：tcpdump、tcpslice、tcpstat、tcpprof、tcpparse
回答 2
Unix & Linux用户
回答已采纳
发布于 2020-10-22 10:52:04
要从命令行分析tcpdump，可以使用tcpparse命令。例：
# tcpparse tcpdump_file.pcap
6 192.135.33.41 132 > 192.168.20.119 1544 74
6 192.168.20.119 57604 > 192.135.33.41 1194 66
6 192.168.20.119 57604 > 192.135.33.41 1194 110
6 192.135.33.41 1194 > 192.168.20.119 57604 66
6 192.135.33.41 1194 > 192.168.20.119 57604 122
6 192.168.20.119 57604 > 192.135.33.41 1194 66
6 192.168.20.119 57604 > 192.135.33.41 1194 118各栏解释:-
- 协议
- 源IP地址
- 源端口
- 目的IP地址
- 目的端口
- 包大小。
同样，也可以使用tcpdump -r。
Unix & Linux用户
发布于 2020-09-10 13:27:44
您将有一个更好的时间加载您的捕获文件到wireshark，这将整齐地为您在“对话”窗口。
否则，请看一下这个线程：https://serverfault.com/questions/273066/tool-for-splitting-pcap-files-by-tcp-connection
页面原文内容由Unix & Linux提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://unix.stackexchange.com/questions/608767
复制相关文章
相似问题
腾讯云开发者
