Saya pikir jika Anda mengatur ulang output dari tshark menggunakan -T fields itu jauh lebih mudah. Saya dapat mencapai apa yang Anda inginkan seperti ini:
$ tshark -r blah.pcap -T fields -e frame.len -e ip.src | sort -k 1n | tail -5
92 10.0.2.2
92 10.0.2.2
92 10.0.2.2
100 10.0.2.15
156 10.0.2.15
bidang tshark
Anda dapat menggunakan perintah ini untuk mendapatkan daftar semua bidang:
$ tshark -G field
Tapi saya menemukan bahwa agak sulit untuk membaca. Jika Anda ingin memahami kolom di -G field output, dijelaskan di sini:tshark - Buang dan analisis lalu lintas jaringan:
* Header Fields
* -------------
* Field 1 = 'F'
* Field 2 = descriptive field name
* Field 3 = field abbreviation
* Field 4 = type (textual representation of the ftenum type)
* Field 5 = parent protocol abbreviation
* Field 6 = base for display (for integer types); "parent bitfield width" for FT_BOOLEAN
* Field 7 = bitmask: format: hex: 0x....
* Field 8 = blurb describing field
Anda dapat menggunakan grep ini untuk memfilter keluaran jika Anda berani:
$ tshark -G fields | grep -P '\s+(ip.src|frame.len)\s+'
F Frame length on the wire frame.len FT_UINT32 frame BASE_DEC 0x0
F Source ip.src FT_IPv4 ip 0x0
Referensi
- masukkan deskripsi tautan di sini
- tutorial tshark dan contoh filter
- Menghitung kemunculan IP dalam file PCAP menggunakan tshark
- Filter tampilan alamat IP tertentu menggunakan tshark