tshark - 仅输出应用程序层解码

Question

使用 tshark ，如何才能解析并显示应用层？

例如，我可以使用以下方法捕获和解码snmp流量：

sudo tshark -V -i lo -d udp.port==161,snmp

这将解码从物理层到应用程序层的所有层（输出剪切）：

Frame 120: 134 bytes on wire (1072 bits), ...
    Interface id: 0
    ....
Ethernet II, Src: 00:00:00_00:00:00 (00:00:00...
    Destination: 00:00:00_00:00:00 ...
    ....
Internet Protocol Version 4, Src: 127.0.0.1...
    Version: 4
    ....
User Datagram Protocol, Src Port: snmp (161), ....
    Source port: snmp (161)
    ....
Simple Network Management Protocol
    version: v2c (1)
    community: public
    ....

（我只想从“简单网络管理协议”开始解码）。

我考虑过的其他事情

我知道使用字段输出（例如 -e snmp.community ）。为snmp指定所有字段将永远...

我可以使用pdml输出，并使用XSLT转换结果。但是pdml输出很慢并且使用XSLT似乎有些过分：

sudo tshark -V -T pdml -i lo -d udp.port==161,snmp

<proto name="udp" showname="User Datagram Protocol...
    <field name="udp.srcport"...
<proto name="snmp" showname="Simple...
    <field name="snmp.version" showname="version: v2c...

Answer 1

您可以使用-O选项，如帮助输出所示：

  

-O <protocols>仅显示这些协议的数据包详细信息，以逗号分隔

$ tshark -i 4 -O snmp -q -V > snmp.txt

另请参阅TShark man-page：

  

-O与-V选项类似，但会导致TShark仅显示指定的逗号分隔协议列表的详细视图，而不是所有协议的详细视图。使用“tshark -G protocols”的输出来查找您可以指定的协议的缩写。