networking - 无论协议(protocol)如何，如何使用 tshark 获取源端口和目标端口？

Question

我正在尝试从数据包中获取一些字段，例如目的地ip = ip.dst;但是我不确定源端口和目标端口的 ID 是什么。据我所见，它们似乎是特定于协议(protocol)的，即 udp = udp.destport;但是我想知道是否有一种方法可以不考虑协议(protocol)来获取端口。以下是我尝试过的示例:

-n -T fields -E separator=, -e frame.time -e ip.src -e ip.dst -e ip.proto -e tcp.port -e ip.len -e tcp. flags.push'

---祝福。

Answer 1

可能找出字段名称的最简单方法是在 Wireshark 中打开一个您知道包含感兴趣字段的捕获文件，然后展开数据包详细信息，直到找到您感兴趣的字段，最后选择字段。字段名称将显示在底部的状态栏中。

您还可以使用在线 Wireshark 搜索字段 Display Filter Reference .

关于端口，它们在每个协议(protocol)中都是唯一的，因此如果您想查看 TCP 源端口和目标端口，您必须专门过滤 tcp.srcport 和 tcp.dstport，如果您想查看 UDP 源端口和目标端口，则必须专门针对 udp.srcport 和 udp.dstport 进行过滤。

为避免 TCP 流量的 UDP 端口列为空白或 UDP 流量的 TCP 端口列为空白，您可以运行该命令两次以首先仅关注 TCP 流量，然后仅关注 UDP 流量。例如:

TCP:

tshark -Y "tcp" -T fields -e tcp.srcport -e tcp.dstport

UDP:

tshark -Y "udp" -T fields -e udp.srcport -e udp.dstport

(我省略了所有其他 tshark 选项，只关注我试图说明的选项。)