3

使用tshark，我将如何让它只解码和显示应用程序层？

例如，我可以使用以下方法捕获和解码 snmp 流量：

sudo tshark -V -i lo -d udp.port==161,snmp

这将解码所有层，从物理层到应用层（输出截断）：

Frame 120: 134 bytes on wire (1072 bits), ...
    Interface id: 0
    ....
Ethernet II, Src: 00:00:00_00:00:00 (00:00:00...
    Destination: 00:00:00_00:00:00 ...
    ....
Internet Protocol Version 4, Src: 127.0.0.1...
    Version: 4
    ....
User Datagram Protocol, Src Port: snmp (161), ....
    Source port: snmp (161)
    ....
Simple Network Management Protocol
    version: v2c (1)
    community: public
    ....

（我只想从“简单网络管理协议”开始解码）。

我考虑过的其他事情

我知道使用字段输出（例如-e snmp.community）。为 snmp 指定所有字段将花费很长时间......

我可以使用 pdml 输出，并使用 XSLT 转换结果。但是 pdml 输出很慢，而且使用 XSLT 似乎有点过头了：

sudo tshark -V -T pdml -i lo -d udp.port==161,snmp

<proto name="udp" showname="User Datagram Protocol...
    <field name="udp.srcport"...
<proto name="snmp" showname="Simple...
    <field name="snmp.version" showname="version: v2c...
4

1 回答 1

10

您可以使用该-O选项，如帮助输出所示：

-O <protocols> 仅显示这些协议的数据包详细信息，逗号分隔

$ tshark -i 4 -O snmp -q -V > snmp.txt

另请参阅TShark 手册页：

-O与该-V选项类似，但导致 TShark 仅显示指定协议的逗号分隔列表的详细视图，而不是所有协议的详细视图。使用“ tshark -G protocols”的输出来查找您可以指定的协议的缩写。

于 2013-06-03T18:53:10.573 回答