问题[tshark](server)

我有一个 1.5Gb 的小型 UDP 数据包捕获，我想将其转换为 CSV，其中只有时间戳和十六进制格式的 UDP 有效负载数据。

所需输出的示例如下：

% head Data3.txt 
0.000000,0000000041000000005ec812ac00047dce00000000
0.000194,0000000042000000005ec812ac00047db500000000
0.000227,0000000041000000005ec812ac00047dce00000000
0.000619,0000000042000000005ec812ac00047db500000000
0.000663,0000000041000000005ec812ac00047dce00000000
0.000854,0000000042000000005ec812ac00047db500000000
0.000883,0000000041000000005ec812ac00047dce00000000

我不需要这种确切的格式，只需要一种以后可以转换为该数据的格式（在这种情况下，它们是 21 字节长度的 UDP 数据包）。

我正在努力使用 tcpdump 实现这一目标，但没有成功，所以我发现 tshark 可以完成这项工作：

  tshark -r May31Jun5.pcap -t r -T fields -e frame.time -e data

该命令根据需要提供增量时间和有效负载（请参见下面的摘录）。

Jun  1, 2020 00:02:27.567001000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567014000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567028000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567042000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567056000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567066000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567106000 CEST    0000000054000000005ed4297300049fb100000001
Jun  1, 2020 00:02:27.567124000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:27.567137000 CEST    0000000042000000005ed4297300049fb100000000
Jun  1, 2020 00:02:27.567152000 CEST    0000000041000000005ed4297300049fe300000000
Jun  1, 2020 00:02:28.095487000 CEST    0000000041000000005ed4297300049fe300000000

但是我希望只有几秒钟的小数，所以而不是：

Jun  1, 2020 00:02:28.095487000

这将是：

148.095487000

我怎样才能做到这一点？我想这是可能的，因为 Wireshark 的 GUI 版本会显示该值。

我正在尝试捕获作为 StatsD 指标发送的 UDP 流量（在端口 8125 上）。

我尝试过的最简单的方法是运行nc -ul 8125将指标打印到终端......但它们不是换行符分隔的。此外，将输出传送到 grep 不会显示任何内容。

我尝试的下一个方法是socat - udp-listen:8125与 netcat 给出类似的结果。

但是，当我将 -v flat和管道 stderr 传递给 stdout ( socat -v - udp-listen:8125 2> &1 | grep ...) 时，我会得到模糊的不错的结果，但还有很多额外的不需要的输出。

我也尝试过 tshark，tshark -l -f "port 8125" -i ln0 -E separator=, -Tfields -e data但这会将输出打印为十六进制......而不是 ascii。我可以传入 -x 标志，它并排打印十六进制和 ascii。不是我想要的，也不是很友好。我还尝试了许多其他 tshark 选项，但没有任何东西能够简单地打印 UDP 指标。

我已经看到了一些例子，其中有人做类似的事情正在增加输出，例如| while read output; do echo $output; done;但是，我没有用这种方法取得任何成功，而且我不是一个真正的 unix 人，所以我正在努力想出一个解决方案。

毕竟，这似乎并没有什么不寻常的任务，而且nc -ul 8125几乎就在那里......

为了提供更多上下文......执行发送的代码如下所示：

var udpClient = new UdpClient();
udpClient.Connect("127.1", 9999);
while (true)
{
    var bytes = Encoding.UTF8.GetBytes("hi");
    udpClient.Send(bytes, bytes.Length);
    Thread.Sleep(1000);
}

所需的输出看起来像

hi
hi
hi
...

而nc -ul 9999输出hihihihihi....

我可以显示源和目标 tcp 端口

tshark -T fields -e tcp.port
1111,2222
2222,1111
[...]

如何仅显示源端口以便获取

1111
2222

使用 TShark，我希望能够从 .pcap 文件中通过 tshark 捕获的数据包数据中提取 HTTP 响应中的有效负载。

在 Wireshark GUI 中，我能够做到这一点File > Extract Objects > HTTP，然后从 HTTP 对象对话框（显示所有 HTTP 对象的列表）中选择一个文件，并将其保存在我的磁盘上。此处描述了此过程。

问题是我如何在 Tshark 中做到这一点？

我正在尝试捕获原始 http 请求，以便稍后使用 JMeter 和原始数据源插件重新播放它。我已经尝试过 tshark/tcpdump 但它捕获了我不需要的整个 TCP 数据，此外，它无法将这种格式保存到文件中，我不想使用任何 Web 服务器日志插件来做到这一点，因为当你可以访问服务器通常已经解析了请求数据，因此您必须重新创建原始请求，这违背了“原始”的想法。简单地说，我想在网络上捕获 HTTP 请求，在它被解析之前或其他任何东西之前，我想将它保存到一个文件中。可能吗？如何？

我们正在测试环境中工作，需要监控使用tshark捕获的 rtp 流的音频质量。

现在我们可以通过wireshark捕获音频并访问文件，但我们想找到一种通过命令行将音频保存到 .wav 文件（或类似文件）的方法。

有谁知道可以做到这一点的工具？