用于 tshark 捕获的 http.host 过滤器

Question

我想捕获到特定域名的流量。我尝试了以下 wireshark 过滤器

http.host == 'example.com'

它可以工作，但几个小时后临时数据变得非常大，所以我尝试使用 tshark 和捕获过滤器来仅捕获和保存流向 example.com 的流量

tshark -i eth0 -f "Host example.com" -w "/tmp/d.pcap"

然而，这捕获了一切。

有没有什么方法可以让我仅捕获发往特定域名的流量？

Answer 1

捕获过滤器区分大小写：

tshark -i eth0 -f "host example.com" -w "/tmp/d.pcap"