network-protocols - 如何使用 tshark 仅捕获 TCP 流量

Question

我有以下命令：

tshark -n -r ./file.dump -Y "(tcp.flags.syn==1 or tcp.flags.ack==1 and tcp.flags.fin==0)"

出于某种原因，打印和 ICMP 消息。

如何告诉 tshark 只打印 tcp 数据包？

我唯一想到的就是 grep 它grep "TCP"。但这不是一个好的解决方案。

Answer 1

出于某种原因打印 ICMP 消息。

Wireshark/TShark 剖析 ICMP 消息的负载；如果它们碰巧包含 TCP 段的一部分，则将对其进行剖析，因此数据包将包含这些标志）。

如何告诉 tshark 只打印 tcp 数据包？

tshark -n -r ./file.dump -Y "not icmp and (tcp.flags.syn==1 or tcp.flags.ack==1 and tcp.flags.fin==0)"