Myslím, že pokud reorganizujete výstup z tshark pomocí -T fields je to mnohem jednodušší. Podařilo se mi dosáhnout toho, co jste chtěli:
$ tshark -r blah.pcap -T fields -e frame.len -e ip.src | sort -k 1n | tail -5
92 10.0.2.2
92 10.0.2.2
92 10.0.2.2
100 10.0.2.15
156 10.0.2.15
pole tshark
Tento příkaz můžete použít k získání seznamu všech polí:
$ tshark -G field
Ale přišlo mi to trochu těžké číst. Pokud chcete porozumět sloupcům v -G field výstup, jsou popsány zde:tshark - Výpis a analýza síťového provozu:
* Header Fields
* -------------
* Field 1 = 'F'
* Field 2 = descriptive field name
* Field 3 = field abbreviation
* Field 4 = type (textual representation of the ftenum type)
* Field 5 = parent protocol abbreviation
* Field 6 = base for display (for integer types); "parent bitfield width" for FT_BOOLEAN
* Field 7 = bitmask: format: hex: 0x....
* Field 8 = blurb describing field
Můžete použít toto grep pro filtrování výstupu, pokud jste odvážní:
$ tshark -G fields | grep -P '\s+(ip.src|frame.len)\s+'
F Frame length on the wire frame.len FT_UINT32 frame BASE_DEC 0x0
F Source ip.src FT_IPv4 ip 0x0
Odkazy
- zde zadejte popis odkazu
- výukový program a příklady filtrů tshark
- Počítání výskytů IP v souboru PCAP pomocí nástroje tshark
- Filtr zobrazení konkrétní adresy IP pomocí nástroje tshark