問題タブ [tshark]

プログラムから複数のPythonスクリプトを生成（フォーク？）したい（Pythonでも記述）。

私の問題は、を使用して出力を収集するため、各スクリプトに1つの端末を割り当てることpexpectです。

pexpect、os.execlpを使用してみましos.forkptyたが、どちらも期待どおりに機能しません。

子プロセスを生成し、それらを忘れたい（それらはいくつかのデータを処理し、私が読み取ってpexpect終了できる端末に出力を書き込みます）。

ライブラリ/ベストプラクティスなどはありますか？この仕事を成し遂げるために？

psなぜ私がSTDOUTに書き込み、そこから読み取るのかを尋ねる前に、私はSTDOUTに書き込みを行わず、の出力を読み取りますtshark。

調査上の理由から、httpパッケージのtcpシーケンス番号を取得する必要があります。私はすでにpcapファイルを持っていますが、tsharkでそれをどのように行う必要がありますか？

私の質問に答えてくれてありがとう!!!

Tshark は、コマンド ライン パケット スニファーです。パケットから情報を取得し、それを変数に入れ、正規表現を実行する方法を見つけようとしています。

今、私はtsharkからこれを取得しています:

注: Ruby を使用しています。

以前のバージョンのwireshark (1) では機能していたコマンドがありましたが、最新バージョン (1.6.1) では機能しません。

"C:\Program Files\Wireshark\tshark.exe" -i \Device\NPF_{282F8D86-F9CC-4575-8F20-7E9F5B04BB89} -l -q -R "h245" -S -T pdml -w C:\capture_0 .cap "(ホスト 172.24.161.49 またはホスト 172.24.161.34 で、ポート 80 でもポート 23 でもありません) and tcp" 1>C:\capture_0.xml

「tshark: キャプチャしたパケットをキャプチャして保存するときに、読み取りフィルタはサポートされていません」というエラー メッセージが表示されます。

このコマンドの何が問題になっていますか?

参考までに - このマシンには完全な cygwin がインストールされています。違いはありますか？

tshark出力をにパイプしようとしていawkます。tsharkコマンドはそれ自体で正常に機能し、などの他のプログラムにパイプするとcat正常に機能します（出力のリアルタイム印刷）。ただし、awkにパイプ接続すると、ハングして何も起こりません。

これはより単純なバージョンです：

比較すると、以下は問題なく機能します（ただし、あまり有用ではありません）。

前もって感謝します。

私は、tsharkで作成された一連の通常の小さなpcapファイルの解析スクリプトに取り組んでいます。

必要なのは、キャプチャの最初のパケットと最後のパケットの正確な（ミリ秒までの）タイムスタンプを抽出することです。「capinfosmyfile」を試しましたが、精度は数秒までで、1秒未満のキャプチャではあまり役に立ちません。

誰かが私がその情報を取得する方法を知っていますか？

TSharkスニファーを使用してHTTPリクエストの完全な説明を取得する必要があります。私はあなたが得ることができるWiresharkのGUIのようなものを意味します：

• 生のリクエストデータ（圧縮/解凍）;
• きれいに印刷された抽出されたHTTPフィールド:(ホスト、承認済み-エンコーディング、Cookieなど）。

今のところ、次の方法でHTTPを分析できます。

次のように出力されます。

または、たとえば次のようにCookie（またはすべてのCookie？）を印刷できます。

しかし、生データを含む完全なHTTPリクエストの説明が必要です。出来ますか？

複数のプレーン テキスト パケットを 1 つの大きな pcap ファイルにマージしようとしています。個々のテキスト ファイルごとに text2pcap を使用してから、すべての pcaps で mergecap を使用して最終出力を作成しました。ただし、各 pcap ファイルを書き出し、それらをすべてマージしてから、すべての単一の pcap ファイルを削除する必要があるため、これは非常に時間がかかります。一度に複数のテキスト ファイルを text2pcap に送信することで、速度を上げたいと考えています。

残念ながら、私が理解していることから、text2pcap ではテキスト ファイルのオフセットが正しい必要があり、複数の異なるパケットをマージしているため、0000 から何度もやり直しています。これがエラーの原因だと思います。

したがって、次のようなパケットがあると仮定します。

そして、次のような別のパケット:

それらの 2 つを単一の pcap ファイルに変換するにはどうすればよいですか?

WiFi (802.11) 用のネットワーク アナライザーを設計する予定です。現在、tshark を使用して WiFi フレームをキャプチャして解析し、出力を perl スクリプトにパイプして、解析された情報を Mysql データベースに保存します。

このプロセスで多くのフレームを見逃していることがわかりました。確認したところ、パイプ中にフレームが失われているようです (出力が Perl に配信されて Mysql で処理されるとき)。

(Tshark) -------frames are lost----> (Perl) --------> (MySQL) これは、tshark の出力をスクリプトにパイプする方法です。

これは、私が使用する perl スクリプトの単純なテンプレートです (tshark-sql-capture.pl)

パフォーマンスを向上させるのに役立つアイデアを歓迎します。または、パフォーマンスを向上させる代替メカニズムがあるかもしれません。現在、私のパフォーマンスは 50% で、キャプチャしたパケットの約半分を mysql に保存できることを意味します。

2 台のマシン間で UDP パケットをブロードキャストし、3 台​​目のマシンでリッスンしています。Wireshark でパケットを確認できますが、UDP パケットの「データ」部分を取得する簡単な方法が必要です。tshark を使用して、パケット情報をファイルにダンプできました。

ただし、これはパケット内のすべてを印刷します。「データ」部分のみを印刷したいのです。これを行う方法はありますか？

また、Pythonでこれをキャプチャする方法があれば、それも素晴らしいでしょう. 次のコードを設定しました。

「リスニング」PCを使用してこのコードを実装すると、データが受信されません。2 つの通信 PC の 1 つを使用してこのコードを実装すると、「要求されたアドレスはそのコンテキストでは有効ではありません」

私の「リスニング」PC の Wireshark の 2 台の PC 間ですべてのデータが渡されているのがわかります。

ありがとう！