tcp - Wiresharkはポートごとにパケットをカウントします

Question

非常に大きなトレースファイルがあり、Wiresharkを使用して、どの宛先ポートに最も多くのパケットが送信されているかを判断しようとしています。特定のポートに送信されたパケットの数を取得する方法はありますか？または、ポートに送信されたパケット数で並べ替えますか？

Answer 1

lua で簡単な Wiresharkリスナーを作成できます。

local tap 

local ports = {} 

local function packet(pinfo, tvb, userdata)
    -- store number of packets per each port
    local port = pinfo.dst_port
    ports[port] = (ports[port] or 0) + 1
end

local function draw(userdata)

    local maxi,maxv = 0,0
    -- print all gathered statictics and find max
    for i,v in pairs(ports) do
        print(i .. ":",  v)
        if maxv < v then
            maxi,maxv = i,v
        end
    end
    print ("Max:", maxi, maxv)
end

local function reset(userdata)
    ports = {}
end

local function show_ports()
    tap = Listener.new()
    tap.packet = packet
    tap.draw = draw 
    tap.reset = reset 
end

register_stat_cmd_arg('ports', show_ports)

それを試してみてください：

tshark -X lua_script:ports.lua -z ports -r in.pcap