多くのpcapファイルをtcpdumpで検索する

Question

私はtcpdumpで得たpcapファイルをたくさん持っています。私は特定のキーワードのすべてを検索し、これらの文字列を含むファイルを記録する必要があります。おそらくtcpdumpコマンドを使ってこれらのキーワードの検索を自動化する方法はありますか？

Answer 1

さらに強力なバージョンのtcpdump、tshark（wiresharkパッケージのコマンドラインツールです）があります。あなたは好きなフォーマットでパケットをダンプするためにtshark -T fields | pdml | ps | psml | textを使うことができます。 tsharkはtcpdumpダンプを読み取ることができます。 fooは、あなたが探している文字列がある

tshark -r file.pcap -Y "frame contains foo" 

...：

Answer 2

おそらくtsharkを使用して最も一般的な解決策は次のように実行することです。 containsとPerl互換正規表現をサポートするmatches演算子などの演算子を使用したフィルタリングの詳細については、wireshark-filter man pageを参照してください。

このコマンドを使用すると、フィルタに一致する各パケットの1行の要約が表示されます。あなたは、多くの方法を使用して出力を調整はなく、例えば、あなたが唯一の一致するパケットのフレーム数を知りたいと思った、あなたが実行できると仮定できます。

tshark -r file.pcap -Y "frame contains foo" -T fields -e frame.number 

は-Tの詳細についてはtshark man pageを参照してください。および-eオプションのほか、その他のオプションがあります。