centos下安装wireshark至关简单.两条命令就够了.这里.主要是记录写使用方面的东西windows
安装:
一、yum install wireshark。注意这样并没有法使用wireshark命令和图形界面。但提供了抓包基本功能。
二、yum install wireshark-gnome。这样就能够方便的使用了。centos
若是能登陆图形界面终端.那使用和windows下的无区别.但咱们的服务器都在国外.要管理的话都是SSH登陆只能用命令行了。使用wireshark的命令行工具tshark,在安装的时候会默认给安装上的,服务器
使用方法很简单,要捕捉包: tshark -w packet.txt -i etho -q 这样就会把捕捉到的网络包存放在packet.txt文件里面,tshark -D查看通道网络
要查看详情的话: tshark -rpacket.txt -x -V|more便可.异步
查看80端口
tshark -i eth0 port 80
下面理一下全部参数的做用:工具
-a
设置一个标准用来指定Wireshark何时中止捕捉文件。标准的格式为 test:value,test值为下面中的一个。字体
duration:value
当捕捉持续描述超过Value值,中止写入捕捉文件。lua
filesize:value
当捕捉文件大小达到Value值kilobytes(kilobytes表示1000bytes,而不是1024 bytes),中止写入捕捉文件。若是该选项和-b选项同时使用,Wireshark在达到指定文件大小时会中止写入当前捕捉文件,并切换到下一个文件。命令行
files:value
当文件数达到Value值时中止写入捕捉文件对象
-b
若是指定捕捉文件最大尺寸,由于Wireshark运行在”ring buffer”模式,被指定了文件数。在”ring buffer”模式下,Wireshark 会写到多个捕捉文件。它们的名字由文件数和建立日期,时间决定。
当第一个捕捉文件被写满,Wireshark会跳转到下一个文件写入,直到写满最后一个文件,此时Wireshark会丢弃第一个文件的数据(除非将files设置为0,若是设置为0,将没有文件数限制),将数据写入该文件。
若是duration选项被指定,当捕捉持续时间达到指定值的秒数,Wireshark一样会切换到下个文件,即便文件未被写满。
duration:value
当捕捉持续描述超过Value值,即便文件未被写满,也会切换到下个文件继续写入。
filesize:value
当文件大小达到value值kilobytes时(kelobyte表示1000bytes,而不是1024bytes),切换到下一个文件。
files:value
当文件数达到value值时,从第一个文件从新开始写入。
-B
仅适合Win32:设置文件缓冲大小(单位是MB,默认是1MB).被捕捉驱动用来缓冲包数据,直到达到缓冲大小才写入磁盘。若是捕捉时碰到丢包现象,能够尝试增大它的大小。
-c
实时捕捉中指定捕捉包的最大数目,它一般在链接词-k选项中使用。
-D
打印能够被Wireshark用于捕捉的接口列表。每一个接口都有一个编号和名称(可能紧跟在接口描述以后?)会被打印,接口名或接口编号能够提供给-i参数来指定进行捕捉的接口(这里打印应该是说在屏幕上打印)。
在那些没有命令能够显示列表的平台(例如Windows,或者缺乏ifconfig -a命令的UNIX平台)这个命令颇有用;接口编号在Windows 2000及后续平台的接口名称一般是一些复杂字符串,这时使用接口编号会更方便点。
注意,”能够被Wireshark用于捕捉”意思是说:Wireshark能够打开那个设备进行实时捕捉;若是在你的平台进行网络捕捉须要使用有特殊权限的账号(例如root,Windows下的Administrators组),在没有这些权限的帐户下添加-D不会显示任何接口。参数
-f
设置捕捉时的内置过滤表达式
-g 在使用-r参数读取捕捉文件之后,使用该参数跳转到指定编号的包。
-h
-h选项请求Wireshark打印该版本的命令使用方法(前面显示的),而后退出。
-i
设置用于进行捕捉的接口或管道。
网络接口名称必须匹配Wireshark -D中的一个;也可使用Wireshark -D显示的编号,若是你使用UNIX,netstat -i或者ifconfig -a得到的接口名也能够被使用。但不是全部的UNIX平台都支持-a,ifconfig参数。
若是未指定参数,Wireshark会搜索接口列表,选择第一个非环回接口进行捕捉,若是没有非环回接口,会选择第一个环回接口。若是没有接口,wireshark会报告错误,不执行捕捉操做。
管道名便可以是FIFO(已命名管道),也可使用”-”读取标准输入。从管道读取的数据必须是标准的libpcap格式。
-k
-k选项指定Wireshark当即开始捕捉。这个选项须要和-i参数配合使用来指定捕捉产生在哪一个接口的包。
-l
打开自动滚屏选项,在捕捉时有新数据进入,会自动翻动”Packet list”面板(同-S参数同样)。
-m
设置显示时的字体(编者认为应该添加字体范例)
-n
显示网络对象名字解析(例如TCP,UDP端口名,主机名)。
-N
对特定类型的地址和端口号打开名字解析功能;该参数是一个字符串,使用m能够开启MAC地址解析,n开启网络地址解析,t开启传输层端口号解析。这些字符串在-n和-N参数同时存在时优先级高于-n,字母C开启同时(异步)DNS查询。
-o 设置首选项或当前值,覆盖默认值或其余从Preference/recent file读取的参数、文件。该参数的值是一个字符串,形式为 prefname:value,prefnmae是首选项的选项名称(出如今preference/recent file上的名称)。value是首选项参数对应的值。多个-o 可使用在单独命中中。
设置单独首选项的例子:
wireshark -o mgcp.display_dissect_tree:TRUE
设置多个首选项参数的例子:
wireshark -o mgcp.display_dissect_tree:TRUE -o mgcp.udp.callagent_port:2627-p
不将接口设置为杂收模式。注意可能由于某些缘由依然出于杂收模式;这样,-p不能肯定接口是否仅捕捉本身发送或接受的包以及到该地址的广播包,多播包
-Q
禁止Wireshark在捕捉完成时退出。它能够和-c选项一块儿使用。他们必须在出如今-i -w链接词中。
-r
指定要读取显示的文件名。捕捉文件必须是Wireshark支持的格式。
-R
指定在文件读取后应用的过滤。过滤语法使用的是显示过滤的语法,,不匹配的包不会被显示。
-s
设置捕捉包时的快照长度。Wireshark届时仅捕捉每一个包字节的数据。
-S
Wireshark在捕捉数据后当即显示它们,经过在一个进程捕捉数据,另外一个进程显示数据。这和捕捉选项对话框中的”Update list of packets in real time/实时显示数据”功能相同。
-t
设置显示时间戳格式。可用的格式有
r 相对的,设置全部包时间戳显示为相对于第一个包的时间。
a absolute,设置全部包显示为绝对时间。
ad 绝对日期,设置全部包显示为绝对日期时间。
d delta 设置时间戳显示为相对于前一个包的时间
e epoch 设置时间戳显示为从epoch起的妙数(1970年1月1日 00:00:00起)
-v
请求Wireshark打印出版本信息,而后退出
-w
在保存文件时以savefile所填的字符为文件名。
-y
若是捕捉时带有-k参数,-y将指定捕捉包中数据连接类型。The values reported by -L are the values that can be used.
-X
设置一个选项传送给TShark 模块。eXtension 选项使用extension_key:值形式,extension_key:能够是:
lua_script:lua_script_filename,它告诉Wireshark载入指定的脚本。默认脚本是Lua scripts.
-z
获得Wireshark的多种类型的统计信息,显示结果在实时更新的窗口。
用LogParser分析WireShark的包