Tshark: 快速而强大的网络数据包分析工具

小蓝 • 2025-01-02 12:00 • 编程

一、Tshark 中文

Tshark是Wireshark网络协议分析器的命令行版本，它为您提供了用于网络故障排除、网络测试和协议教育的快速而强大的工具。

Tshark支持多种包的捕捉格式，包括tcpdump捕捉文件(以pcap格式保存)，网络接口和Wireshark捕捉文件。它可以用于实时捕获和离线阅读 pcap /f pcap-ng文件，并将捕获结果解析出各个网络协议的详细信息。

# 安装tshark命令：
sudo apt-get install tshark
# 查看tshark命令行界面的中文帮助：
tshark -h | grep -P "\-\|.+?\|"

二、tshark抓包过滤

tshark支持多种过滤条件，以便您可以轻松地从大量的网络数据包中过滤出所需的数据包，提高故障诊断的效率。

tshark操作的过滤条件格式相对灵活，可以通过协议类型、源地址、目的地址、端口号等多种维度进行过滤。

# 查看所有HTTP请求包：
tshark -r sample.pcap -Y "http.request"
# 查看某个IP地址的所有数据包：
tshark -r sample.pcap -Y "ip.addr == 192.168.1.2"
# 查看某个端口号的所有数据包：
tshark -r sample.pcap -Y "tcp.port == 80"
# 过滤出SSL连接数据包：
tshark -r sample.pcap -Y "ssl.handshake"

三、Tshark utf8

默认情况下，tshark输出的协议分析信息都是以ASCII编码形式呈现出来的。如果需要输出utf8编码的内容，可以通过设置环境变量实现。

# UNIX/Linux系统下设置utf8环境变量：
export LC_ALL=C.UTF-8
# Windows系统下设置utf8环境变量：
set LC_ALL=C.UTF-8

四、tshark和wireshark关系

tshark是wireshark的一个命令行版本，两者都是基于libpcap库的。

wireshark提供了强大的图形用户界面，可以通过图形操作实现数据包捕获、分析、过滤等功能；而tshark则是在命令行下提供了同样的功能，适合在服务器端、远程终端等场景下使用。

五、tshark不能读取tls

tshark不能直接读取加密协议TLS的数据包，它只能读取加密前和加密后的数据包。如果需要读取TLS中的数据包，可以通过在wireshark中对数据包进行解密后再导出到pcap文件，再使用tshark对解密后的pcap文件进行分析。

六、shark

tshark本质上是一款命令行版本的抓包和分析工具，它可以与其他工具结合使用，帮助网络管理员和开发人员更好地进行网络数据包分析和管理。

在使用tshark的时候，可以通过-t选项指定输出格式，将结果输出为XML、JSON等多种格式，并将结果通过pipe传输到其他工具进行进一步的分析处理。

# 输出结果为json格式：
tshark -r sample.pcap -T json | jq .
# 输出层级结构嵌套的XML格式：
tshark -r sample.pcap -T pdml | xmllint --format -

原创文章，作者：小蓝，如若转载，请注明出处：https://www.506064.com/n/306190.html