tshark 停止标准

Question

我需要在满足某个条件后停止 tshark(wireshark 的命令行等价物)。

从 tshark 手册页中，我发现停止条件可以应用于持续时间、文件、文件大小和多文件模式。

是否可以通过捕获过滤器应用任何停止条件，以便 tshark 停止捕获。

例如:从特定端口号接收到 TCP SYN 数据包(捕获过滤器中应用的条件)后，tshark 停止捕获。

请回答这个谜语。

Answer 1

您可以将输出通过管道传输到 head 并选择与您的查询匹配的第一个帧，但您还需要禁用输出缓冲(stdbuf 是 coreutils 的一部分)

例如(Linux)

stdbuf -i0 -o0 -e0 tshark -r file.pcap -Y 'sctp.verification_tag == 0x2552' | head -1

苹果机:

gstdbuf -i0 -o0 -e0 tshark -r file.pcap  -Y 'tcp.flags.syn == 1 && tcp.port == 80' | head -1