pcap - 使用 tcpdump 搜索许多 pcap 文件

Question

我有一堆通过 tcpdump 获得的 pcap 文件。我需要在所有文件中搜索特定关键字并记录哪些文件包含这些字符串。有没有办法使用 tcpdump 命令自动搜索这些关键字？

Answer 1

使用 tshark 的最通用的解决方案可能是运行如下内容:

tshark -r file.pcap -Y "frame contains foo"

... 其中 foo 是您要搜索的字符串。引用wireshark-filter man page有关使用 contains 和其他运算符进行过滤的更多信息，例如支持 Perl 兼容正则表达式的 matches 运算符。

使用该命令，您将看到的输出将是与过滤器匹配的每个数据包的 1 行摘要。您可以使用多种方法定制输出，但是例如，假设您只想知道匹配数据包的帧号，您可以运行:

tshark -r file.pcap -Y "frame contains foo" -T fields -e frame.number

引用tshark man page有关 -T 和 -e 选项以及可能对您有用的其他选项的更多信息。