Tshark (Wireshark CLI) 高级抓包

Tshark 是 Wireshark 的命令行版本，它提供了与 Wireshark 相同的网络分析功能，但更适合在没有图形界面或需要脚本自动化的环境中使用。本文将详细介绍如何使用 Tshark 进行高级抓包操作，并提供一些实用的实践步骤和代码示例。

1. 基本概念

Tshark 可以捕获、过滤和解析网络流量。它支持多种协议，并允许用户通过强大的显示过滤器来筛选感兴趣的流量。

主要功能

• 实时捕获网络流量。
• 使用捕获过滤器（Capture Filter）限制捕获的数据包。
• 使用显示过滤器（Display Filter）进一步筛选数据包。
• 将捕获的数据保存为文件，供后续分析。

2. 安装 Tshark

在大多数 Linux 发行版中，可以通过包管理器安装 Tshark：

# Ubuntu/Debian
sudo apt-get install tshark

# CentOS/RHEL
sudo yum install wireshark

确保安装后可以运行以下命令检查版本：

tshark -v

3. 基本用法

列出可用的网络接口

tshark -D

此命令将列出所有可用的网络接口，例如 eth0 或 wlan0。

捕获数据包

要开始捕获数据包，可以使用以下命令：

tshark -i <interface>

例如，捕获来自 eth0 接口的数据包：

tshark -i eth0

捕获特定数量的数据包

如果只想捕获固定数量的数据包，可以使用 -c 参数：

tshark -i eth0 -c 100

这将捕获 100 个数据包后停止。

4. 高级用法

捕获过滤器（Capture Filter）

捕获过滤器用于在捕获过程中限制数据包的数量。例如，只捕获 TCP 流量：

tshark -i eth0 "tcp"

或者只捕获特定 IP 地址的流量：

tshark -i eth0 "host 192.168.1.1"

还可以结合端口号进行过滤：

tshark -i eth0 "port 80"

显示过滤器（Display Filter）

显示过滤器用于在捕获后筛选数据包。例如，只显示 HTTP 请求：

tshark -i eth0 -Y "http.request"

或者只显示 DNS 查询：

tshark -i eth0 -Y "dns.flags.response == 0"

数据包导出

可以将捕获的数据包保存到文件中以便后续分析：

tshark -i eth0 -w output.pcap

之后可以使用 -r 参数读取该文件：

tshark -r output.pcap

统计信息

Tshark 提供了统计信息的功能。例如，统计每个 IP 地址的流量：

tshark -i eth0 -z ip_hosts,tree

或者统计每个协议的流量：

tshark -i eth0 -z proto,colinfo,ip.proto,Protocol

5. 实践示例

示例 1：捕获并保存 HTTPS 流量

假设我们想捕获并保存某个接口上的 HTTPS 流量：

tshark -i eth0 "port 443" -w https_traffic.pcap

示例 2：实时监控 DNS 查询

如果我们想实时查看 DNS 查询：

tshark -i eth0 -Y "dns" -T fields -e dns.qry.name

这将输出所有 DNS 查询的域名。

6. 总结

Tshark 是一个功能强大的命令行工具，适用于各种网络分析场景。通过结合捕获过滤器和显示过滤器，我们可以高效地捕获和分析网络流量。