主页 / server / 问题 / 1020368
Accepted
M.E.
Asked: 2020-06-08 02:12:08 +0800 CST

使用 tcpdump/tshark 显示 delta 时间戳和 UDP 数据负载

  • 772

我有一个 1.5Gb 的小型 UDP 数据包捕获，我想将其转换为 CSV，其中只有时间戳和十六进制格式的 UDP 有效负载数据。

所需输出的示例如下：

% head Data3.txt 
0.000000,0000000041000000005ec812ac00047dce00000000
0.000194,0000000042000000005ec812ac00047db500000000
0.000227,0000000041000000005ec812ac00047dce00000000
0.000619,0000000042000000005ec812ac00047db500000000
0.000663,0000000041000000005ec812ac00047dce00000000
0.000854,0000000042000000005ec812ac00047db500000000
0.000883,0000000041000000005ec812ac00047dce00000000

我不需要这种确切的格式，只需要一种以后可以转换为该数据的格式（在这种情况下，它们是 21 字节长度的 UDP 数据包）。

我正在努力使用 tcpdump 实现这一目标，但没有成功，所以我发现 tshark 可以完成这项工作：

  tshark -r May31Jun5.pcap -t r -T fields -e frame.time -e data

该命令根据需要提供增量时间和有效负载（请参见下面的摘录）。

Jun  1, 2020 00:02:27.567001000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567014000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567028000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567042000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567056000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567066000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567106000 CEST    0000000054000000005ed4297300049fb100000001
Jun  1, 2020 00:02:27.567124000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567137000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567152000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:28.095487000 CEST    0000000041000000005ed4297300049fe300000000

但是我希望只有几秒钟的小数，所以而不是：

Jun  1, 2020 00:02:28.095487000

这将是：

148.095487000

我怎样才能做到这一点？我想这是可能的，因为 Wireshark 的 GUI 版本会显示该值。

tcpdump tshark

2 个回答

  1. Best Answer

    要获得简单字段的 CSV 样式输出，您可以使用-T fields选项 with tshark，结合-E separator=,使用逗号作为分隔符而不是制表符的选项。

    接下来，要确定要使用哪种类型的字段名称，请检查 GUI 中的状态栏以查找所选字段，或使用tshark -T pdml -r some.pcap例如，或tshark -G fields支持字段的完整列表。

    对于列，您可以使用特殊_ws.col.<name>字段。例如，_ws.col.Time。

    结合这些信息，您可以使用以下内容：

    tshark -r your.pcap -Tfields -Eseparator=, -eframe.time_relative -edata > your.csv

    奖金信息：

    • 如果 UDP（例如 DNS）使用 UDP 有效负载，则该data字段将为空。添加--disable-protocol dns以避免这种情况。
    • 在当前的开发版本中，udp.payload添加了一个新选项，它应该避免以前的选项。（提交v3.3.0rc0-250-gf04475167a）
    • 如果由于某种原因一个字段多次出现，它将被输出，以逗号分隔。您可以使用该-E occurence=1选项将结果限制为仅第一个值。
    • 有关这些选项的更多详细信息，请参阅tshark 手册页。
    • 2

  2. 编辑：这是到目前为止我所做的。我可以得到一个领域或另一个领域，但不能同时获得。

    要获取时间戳增量：

    tshark -r May31Jun5.pcap -o 'gui.column.format:"Time","%t"' > May31Jun5.time.csv
...
262.625098
262.625148
262.625237
262.625762
262.625781
262.625800
262.626037
262.626050
262.626206
262.626232
262.626455
262.626679
...

    要获取数据有效负载：

    tshark -r May31Jun5.pcap -Tfields -e data > May31Jun5.data.csv
...
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff0004a02e00000000
0000000054000000005ed428ff0004a02e00000002
0000000054000000005ed428ff0004a01500000002
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff00049ffc00000000
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff0004a01500000000
0000000054000000005ed428ff0004a01500000001
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff0004a01500000000
0000000054000000005ed428ff0004a01500000001
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff00049ffc00000000
0000000054000000005ed428ff0004a04700000002
0000000041000000005ed428ff0004a04700000000
0000000042000000005ed428ff00049ffc00000000
0000000041000000005ed428ff0004a04700000000
...

    然后在 UNIX 中，您可以轻松地将两者混合paste：

    paste -d',' May31Jun5.time.csv May31Jun5.data.csv | sed 's/^ *//g' > May31Jun5.csv

    如何同时使用tshark？不知道。

    • 0

相关问题