一、tshark简介

  tshark是一个网络协议分析器。它允许您从实时网络捕获数据包数据，或者从以前保存的捕获文件读取数据包，或者将这些数据包的解码形式打印到标准输出，或者将数据包写入文件。TShark的本机捕获文件格式是pcapng格式，这也是Wireshark和其他各种工具使用的格式。如果不设置任何选项，TShark的工作方式将非常类似于tcpdump。它将使用pcap库捕获来自第一个可用网络接口的流量，并在每个接收到的数据包的标准输出上显示摘要行。
博文实验环境说明：

• 操作系统：ceontos7.6
• wireshark:1.10.14

二、安装步骤

1、安装epel扩展源

[root@s145 yum.repos.d]# yum install -y epel-release

2、安装wireshark

#tshark是wireshark的一个工具，我们可以直接安装wireshark
[root@s145 yum.repos.d]# yum install -y wireshark

3、查看版本

[root@s145 yum.repos.d]# tshark -v
TShark 1.10.14 (Git Rev Unknown from unknown)

三、使用示例

1、获取命令帮助

[root@s145 ~]# tshark --help

2、查看命令版本

[root@s145 ~]# tshark -v

3、eth0接口抓包

[root@s145 ~]# tshark -i eth0

4、抓取前10个包

[root@s145 ~]# tshark -i eth0 -c 10

5、抓包http包

[root@s145 ~]# tshark -i eth0 -f ‘tcp dst port 80’

6、抓取http请求包

[root@s145 ~]# tshark -i eth0 -f ‘tcp dst port 80’ -R “http.request”

7、抓取http包并打印指定字段

[root@s145 ~]# tshark -i eth0 -n -f ‘tcp dst port 80’ -R ‘http.host and http.request.uri’ -T fields -e http.host -e http.request.uri -l

8、抓包并过来指定IP地址的包

[root@s145 ~]# tshark -i eth0 -R “ip.addr == 47.103.25.27”

-R参数可以使用满足wireshark过滤规则的包，过滤规则可以参考博文：
抓包工具之wireshark常用过滤表达式

四、命令参数说明

  此处参数说明仅介绍部分常用参数，参数详细说明见官网文档：https://www.wireshark.org/docs/man-pages/tshark.html

1、捕获接口参数

参数	参数说明
-i <interface>	接口名或网卡编号 (默认: 第一个非环回接口)
-f <capture filter>	使用libpcap过滤表达式进行包过滤
-s <snaplen>	设置每个抓包的大小，默认为262144。
-p	不使用混杂模式抓捕报文（即只抓取与本机有关的流量）
-I	如果支持则启用镜像模式
-B <buffer size>	内核缓存大小 (默认4MB)
-y <link type>	链路层类型 (默认为找到的第一个协议)
-D	列出所有接口并退出
-L	列出所有接口链路层类型并退出（供-y参数使用）

2、捕获终止条件参数

参数	参数说明
-c <packet count>	捕获到n个包时停止 (默认不限，持续捕获)
-a <autostop cond.> … duration:NUM	捕获进行NUM后停止
-a <autostop cond.> … filesize:NUM	输出文件大于NUM KB后停止
-a <autostop cond.> … files:NUM	输出超过NUM个文件后停止

3、捕获输出参数

参数	参数说明
-b <ringbuffer opt.> … duration:NUM	在NUM秒后写入下一个文件（文件名由-w参数决定）
-b <ringbuffer opt.> … interval:NUM	创建时间间隔NUM秒
-b <ringbuffer opt.> … filesize:NUM	在文件大于NUM KB后写入下一个文件
-b <ringbuffer opt.> … files:NUM	循环缓存: 在NUM个文件后替换早前的

4、读取文件参数

参数	参数说明
-r <infile>	设置需要读取的文件名及路径

5、分析处理参数

参数	参数说明
-2	执行两次分析
-R <read filter>	包的读取过滤器，可以在wireshark的filter语法上查看；在wireshark的视图->过滤器视图，在这一栏点击表达式，就会列出来对所有协议的支持。
-Y <display filter>	使用读取过滤器的语法，在单次分析中可以代替-R选项;
-n:	禁止所有地址名字解析（默认为允许所有）
-N <name resolve flags> :	启用某一层的地址名字解析。“m”代表MAC层，“n”代表网络层，“t”代表传输层，“C”代表当前异步DNS查找。如果-n和-N参数同时存在，-n将被忽略。如果-n和-N参数都不写，则默认打开所有地址名字解析。
-d <layer_type>==,<decode_as_protocol> …	将指定的数据按有关协议解包输出,如要将tcp 8888端口的流量按http解包，应该写为“-d tcp.port==8888,http”;tshark -d. 可以列出所有支持的有效选择器。

6、输出参数

参数	参数说明
-w <outfile|->	使用pcapng格式将报文写入"outfile"文件 (或’-'表示标准输出，直接显示在终端)
-C <config profile>	启动时使用指定的配置文件
-F <output file type>	设置输出文件格式类型, 默认为pcapng格式 "-F"留空则列出所有的文件类型
-V	输出中增加报文层次树(包详细信息)
-O <protocols>	仅显示以下协议的详细信息，逗号分割
-P	每写入一个文件后进行包情况汇总
-S <separator>	数据包之间的行分割符
-x	输出中增加16进制和ascii字符信息(报文按字节显示)
-T pdml|ps|psml|json|jsonraw|ek|tabs|text|fields|?	文本输出格式 (默认文本:text)
-j <protocolfilter>	当-T ek|pdml|json 设置时协议层过滤 (例：“ip ip.flags text”, 过滤不展开的所有字节点，除非过滤中有指定的子节点）
-J <protocolfilter>	当 -T ek|pdml|json 选项设置时进行顶层协议过滤， (例: “http tcp”, 过滤展开的所有字节点）
-e <field>	当 -T fields 设置时打印字段 (如tcp.port,_ws.col.Info) 此选项可以多个用于打印多个字段
-E<fieldsoption>=	当-Tfields选项启用时用于输出配置:

7、其他

参数	参数说明
-h	显示帮助
-v	显示版本
-o <name>: …	覆盖配置项
-K <keytab>	使用keytab文件用于解密kerberos
-G [report]	生成一份或多份报告，默认report=“fields”,使用"-G help"获取更多信息

五、QA

1、yum安装tshark提示No package tshark available

• 原因：确实没有tshark包，tshark是wireshark的一个工具
• 解决方案：安装wireshark

[root@s145 yum.repos.d]# yum provides tshark