wireshark - 如何将tshark时间格式化为ISO格式(yyyy-dd-mm)？

Question

我正在尝试从包含HTTP流量的PCAP中打印出各个字段。列之一应该是ISO 8601格式的时间戳(YYYY-MM-DD hhmmss)。

同样，如果任何人都有在-e下工作的完整字段列表，那将是很棒的(例如ip.src，frame.time等)。

举个例子，我从几个角度开始:

tshark -r out.pcap -R "tcp.port==80" -o column.format:"Packet,%m,Time,%t,Info%i" 

tshark -r out.pcap -R "tcp.port==80" -T fields -e frame.time

Answer 1

您是否尝试过以下方法:

tshark -r out.pcap -R "tcp.port==80" -o column.format:"Packet,%m,Time,%Yt,Info%i"

关键是使用 %Yt而不是 %t，后者使用 YYYY-MM-DD hhmmss.格式。如果要使用UTC，请使用 %Yut。其他格式也可用。

注意:

在Wireshark提交 r52627之前，仅在源代码本身(即 epan/column.c中)中记录了列格式；但是，在该修订版之后，您可以运行 tshark -G column-formats来查看它们。

(但是，该修订版目前仅在Wireshark的开发版本中可用。尽管如此，您仍然可以将源代码本身用作引用。如果要下载开发版本，请访问 Wireshark download page。)

要回答您的第二个查询，即“如果有人拥有在-e下工作的完整字段列表，那真是太棒了”，您可以引用 Wireshark display filter reference page。基本上，可以使用任何命名字段。