9

このようにtsharkを使用してcapfileをデコードすると

 tshark -V -r test.cap  -Y 'http>0'

私は得た

...
JavaScript Object Notation: application/json
    Object
        Member Key: "ret"
            Number value: 99
        Member Key: "message"
            String value:test

問題は、tshark を使用してそのような json データを取得する方法です。

...
{"ret":99,"message":"test"}
4

3 に答える 3

3 
tshark -r test.cap  -Y 'http>0' -T json

tshark -r test.cap  -Y 'http>0' -T json -x # to also include the raw packet data
于 2016-11-23T19:50:59.840 に答える
1

同様の問題がありました。wireshark/tshark オプションだけでは解決できませんでした。以下は、 cap ファイルから生の json と xmlを抽出するための私の回避策です。

# 1. convert to pdml with DISABLED json and xml dissectors
tshark -r "wireshark.cap" -2 -R "http" --disable-protocol json --disable-protocol xml -V -T pdml > "wireshark.cap.pdml.xml" 

# 2. get hex encoded raw data from media.type pdml element
# 3. perform hex decode

ステップ2と3にgroovyスクリプトを使用しました

import groovy.xml.*

...

def String hexDecode(String s) {
    if ( null == s || 0 == s.length() ) { 
            return null
    }   
    def res = ""
    for (int i = 0; i < s?.length(); i += 2) {
            res += (Character)((Character.digit(s.charAt(i), 16) << 4) + Character.digit(s.charAt(i+1), 16))
    }   
    return res 
}

...

def xmlFile = new File("wireshark.cap.pdml.xml")
def pdml  = new XmlParser().parseText( xmlFile.text )
pdml.packet.each{ packet->
    def media = packet.proto.find{ "media"==it.@name }
    def hex  = media?.field.find{"media.type"==it.@name }?.@value
    def raw = hexDecode(hex)
}
于 2015-09-17T07:16:57.087 に答える
-1

「tsharkを使用してそのようなjsonデータを取得する方法」が何を意味するのかよくわかりません。tshark を実行したときに表示された JavaScript 情報は、tshark がアプリケーション/json 本体を JSON として解析し、ご覧のようにきれいな出力で JSON 情報を表示するため、そのように見えます。それをしたくない場合は、JSON プロトコル/ディセクタを無効にする必要があります。残念ながら、tshark でプロトコルを無効にする方法があるとは思いませんが、wireshark にはあります (メニューの Analyze -> Enabled Protocols に移動し、JSON のチェックを外します)。

于 2014-03-10T15:50:48.760 に答える