Tshark - 将数据包信息从pcap导出到cvs

我试图通过使用Tshark以编程方式捕获数据包流。我使用的简化终端的命令是：Tshark - 将数据包信息从pcap导出到cvs

tshark -i 2 -w output.pcap

这是非常简单的，但后来我需要得到一个.csv文件，以便轻松地分析捕获的信息。通过打开.pcap文件中的Wireshark并以.csv我所得到的出口是结构如下文件：

"No.","Time","Source","Destination","Protocol","Length","Info"

但同样，我必须这样做以自动方式。所以，我尝试使用命令：

tshark -r output.pcap -T fields -e frame.number -e ip.src -e ip.dst -e frame.len -e frame.time -e frame.time_relative -E header=y -E separator=, > output.csv

，但我不能在任何地方找到"Info"场我得到手动导出的.csv时的名称。任何想法？谢谢！

来源

2013-02-27 whiplash

没有为信息字段没有名字，因为不喜欢ip.src，frame.time一个过滤场您可以在[显示过滤器参考]（http://www.wireshark.org/docs/dfref/）中找到所有显示过滤器的概述。 – joke 2013-02-28 05:15:01

昨天我浏览了整个列表，我担心我不会找到它，因为“信息”字段不是可过滤的实体。但是，当我手动将.pcap导出为.csv时，Info条目存在，因此必须有一种方法可以使用，以便使用终端命令进行选择。 – whiplash 2013-02-28 12:41:42

是的，你可以使用最新的开发版本。
参见Wireshark Bug 2892。
下载Development Release Version 1.9.0。

使用以下命令：
$ tshark的-i 2 -T领域-e frame.time -e col.Info

输出
2013年2月28日20：58：24.604635000谁10.10.128.203？ Tell 10.10.128.1
2013年2月28日20：58：24.678963000谁有10.10.128.163？告诉10.10.128.1

注
-e col.Info，
利用资本我

来源

2013-02-28 20:10:05 joke

这正是我期待的！非常感谢你的帮助！ – whiplash 2013-03-01 15:41:44

Tshark - 将数据包信息从pcap导出到cvs

回答

相关问题