☰

使用 tcpdump/tshark 显示增量时间戳和 UDP 数据负载

tag-icon • tag-icon tcpdump tshark
使用 tcpdump/tshark 显示增量时间戳和 UDP 数据负载

我捕获了 1.5Gb 的小型 UDP 数据包，我想将其转换为仅包含时间戳和十六进制格式的 UDP 有效负载数据的 CSV。

所需输出的示例如下：

% head Data3.txt 
0.000000,0000000041000000005ec812ac00047dce00000000
0.000194,0000000042000000005ec812ac00047db500000000
0.000227,0000000041000000005ec812ac00047dce00000000
0.000619,0000000042000000005ec812ac00047db500000000
0.000663,0000000041000000005ec812ac00047dce00000000
0.000854,0000000042000000005ec812ac00047db500000000
0.000883,0000000041000000005ec812ac00047dce00000000

我不需要这种精确的格式，只需要一种以后可以转换成这种数据的格式（在这种情况下，它们是 21 字节长度的 UDP 数据包）。

我一直在努力使用 tcpdump 来实现这一点，但没有成功，所以我发现 tshark 可以完成这项工作：

  tshark -r May31Jun5.pcap -t r -T fields -e frame.time -e data

该命令根据需要提供增量时间和有效载荷（见下文摘录）。

Jun  1, 2020 00:02:27.567001000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567014000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567028000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567042000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567056000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567066000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567106000 CEST    0000000054000000005ed4297300049fb100000001
Jun  1, 2020 00:02:27.567124000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567137000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567152000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:28.095487000 CEST    0000000041000000005ed4297300049fe300000000

不过，我只想用小数表示秒数，所以不要这样：

Jun  1, 2020 00:02:28.095487000

这将是：

148.095487000

我该如何实现？我猜这是可能的，因为 Wireshark 的 GUI 版本会显示该值。

答案1

要获得简单字段的 CSV 样式输出，您可以使用选项-T fields，tshark并结合-E separator=,使用逗号而不是制表符作为分隔符的选项。

接下来，要确定要使用什么样的字段名称，请检查 GUI 中的状态栏以查找所选字段，或者使用tshark -T pdml -r some.pcap示例或tshark -G fields受支持的字段的完整列表。

对于列，您可以使用特殊_ws.col.<name>字段。例如，_ws.col.Time。

结合这些信息，您可以使用类似以下内容的方法：

tshark -r your.pcap -Tfields -Eseparator=, -eframe.time_relative -edata > your.csv

奖金信息：

  • 如果 UDP（例如 DNS）消耗了 UDP 负载，则该data字段将为空。添加--disable-protocol dns以避免这种情况。
  • 在当前开发版本中，udp.payload添加了一个新选项，可以避免以前的选项。（提交v3.3.0rc0-250-gf04475167a）
  • 如果由于某种原因某个字段出现多次，则会输出该字段，并以逗号分隔。您可以使用该-E occurence=1选项将结果限制为仅第一个值。
  • 有关这些选项的更多详细信息，请参阅tshark 手册页。

答案2

编辑：这是我目前所做的。我可以获得一个字段或另一个字段，但不能同时获得两个字段。

获取时间戳增量：

tshark -r May31Jun5.pcap -o 'gui.column.format:"Time","%t"' > May31Jun5.time.csv
...
262.625098
262.625148
262.625237
262.625762
262.625781
262.625800
262.626037
262.626050
262.626206
262.626232
262.626455
262.626679
...

获取数据有效载荷：

tshark -r May31Jun5.pcap -Tfields -e data > May31Jun5.data.csv
...
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff0004a02e00000000
0000000054000000005ed428ff0004a02e00000002
0000000054000000005ed428ff0004a01500000002
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff00049ffc00000000
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff0004a01500000000
0000000054000000005ed428ff0004a01500000001
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff0004a01500000000
0000000054000000005ed428ff0004a01500000001
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff00049ffc00000000
0000000054000000005ed428ff0004a04700000002
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff00049ffc00000000
0000000041000000005ed428ff0004a04700000000
...

然后在 UNIX 中您可以轻松地将两者混合使用paste：

paste -d',' May31Jun5.time.csv May31Jun5.data.csv | sed 's/^ *//g' > May31Jun5.csv

如何同时使用tshark？不知道。

相关内容