3

tsharkを使用して、アプリケーション層をデコードして表示するにはどうすればよいですか?

たとえば、次を使用して snmp トラフィックをキャプチャおよびデコードできます。

sudo tshark -V -i lo -d udp.port==161,snmp

これにより、物理層からアプリケーション層までのすべての層がデコードされます (出力は省略されています)。

Frame 120: 134 bytes on wire (1072 bits), ...
    Interface id: 0
    ....
Ethernet II, Src: 00:00:00_00:00:00 (00:00:00...
    Destination: 00:00:00_00:00:00 ...
    ....
Internet Protocol Version 4, Src: 127.0.0.1...
    Version: 4
    ....
User Datagram Protocol, Src Port: snmp (161), ....
    Source port: snmp (161)
    ....
Simple Network Management Protocol
    version: v2c (1)
    community: public
    ....

（「Simple Network Management Protocol」以降のデコードが必要です）。

その他検討したこと

フィールド出力の使用を認識しています（例-e snmp.community）。snmp のすべてのフィールドを指定すると、永遠に時間がかかります...

pdml 出力を使用し、XSLT を使用して結果を変換できます。しかし、pdml の出力は遅く、XSLT の使用はやり過ぎのようです。

sudo tshark -V -T pdml -i lo -d udp.port==161,snmp

<proto name="udp" showname="User Datagram Protocol...
    <field name="udp.srcport"...
<proto name="snmp" showname="Simple...
    <field name="snmp.version" showname="version: v2c...
4

1 に答える 1

10

-Oヘルプ出力で示されているように、オプションを使用できます。

-O <protocols> これらのプロトコルのパケットの詳細のみをカンマ区切りで表示

$ tshark -i 4 -O snmp -q -V > snmp.txt

TSharkの man ページも参照してください。

-Oオプションに似てい-Vますが、TShark は、すべてのプロトコルの詳細ビューではなく、指定されたプロトコルのコンマ区切りリストの詳細ビューのみを表示します。" " の出力を使用して、tshark -G protocols指定できるプロトコルの略語を見つけてください。

于 2013-06-03T18:53:10.573 に答える