使用 tshark 提取特定字节偏移量

Question

我有一个 ICMP 数据包的 pcap。 我正在尝试使用 tshark 来提取有效载荷数据，以便我可以提取特定的字节偏移量。

tshark 文档非常复杂，特别是对我这个初学者来说。

我一直在四处寻找，我正试图为我的目标拼凑一个命令。

我可以运行以下命令：

shark -r test.pcapng -Y icmp -z flow,icmp,network > output.bin

但它只输出在 Wireshark 中显示的数据包列表。

例如，我试图从每个数据包中提取以下字节偏移量（偏移量 22）：

我将如何使用 tshark 提取特定的字节偏移量？

编辑：

发出以下命令只返回一部分有效载荷数据，我怎样才能获得所有数据？

tshark -r test.pcapng -Y "frame.number == 13" -T fields -e data -w output.bin

Answer 1

我已经在https://ask.wireshark.org/question/14795/extract-specific-byte-offset-using-tshark/ 上提供了答案，但为了方便起见，我将总结我在此处提供的 2 种可能的解决方案. 简而言之：

1. 图像中突出显示的字节似乎是 IP 标头的 TTL 字段。 如果这是您感兴趣的领域，您可以通过以下方式获得它：

   \n tshark -r test.pcapng -Y "frame.number == 13" -T fields -e ip.ttl -w output.bin\n

2. 如果您正在寻找更通用的解决方案来打印数据包的第 22 个字节，无论它是否是ip.ttl字段，那么您可以使用以下解决方案：

   \n tshark -r test.pcapng -Y "frame.number == 13" -x -w output.bin |  grep "^0010" | 剪切 -d ' ' -f 9\n

上面的第二个解决方案还说明了如何转储所有字节； 它是使用 tshark 的-x选项完成的。