将 pcap 文件转换为 csv：Tshark 为某些数据包在一行中显示多个 src,dst IP 地址

Question

我想使用“Tshark”将 pcap 文件转换为 csv/tsv，其中每一行对应一个数据包并具有以下格式： timestamp src_ip dst_ip protocol

我使用这个命令： tshark -r <file_name.pcap> -T fields -e frame.time_epoch -e ip.src -e ip.dst -e ip.proto

但是，在显示的 output 中，我看到一些行有两个 src，dst IP 地址和协议号，如下所示： 1525794300.3842 92.153.107.1,203.46.108.229 203.46.108.229,85.50.171.78

而对于 rest，每一行都有一个 src IP，一个 dst IP 和一个协议，如下所示：

1525794300.3843 185.61.46.124 163.218.99.213 6

tshark 在一行中显示多个 src 和 dst ip 地址有什么原因吗？ 我们可以做些什么让 tshark 不这样做吗？

谢谢！

Answer 1

tshark显示多个 src 和 dst IP 地址以及多个协议号的原因是因为数据包中有多个 IP 标头。 在这种情况下，它是 ICMP 数据包，其中包含有关另一个 ICMP 数据包的信息，可能是“传输中超过生存时间”或其他类似错误。 如果您在 Wireshark 中打开该文件或运行tshark -r <file_name.pcap> -Y "icmp" ，您将能够自己看到它。

如果您只对第一个（外部）IP src 和 dst 地址以及协议号感兴趣，那么您可以将 output 限制为每个字段的第一次出现，如下所示：

tshark -r <file_name.pcap> -T fields -E occurrence=f -e frame.time_epoch -e ip.src -e ip.dst -e ip.proto

或者，您可以指定列，同时以这种方式限制字段出现次数：

在 *nix 上：

tshark -r <file_name.pcap> -o 'gui.column.format:"Epoch Time","%Cus:frame.time_epoch","Src","%Cus:ip.src:1","Dst","%Cus:ip.dst:1","Proto","%Cus:ip.proto:1"'

在 Windows 上：

tshark.exe -r <file_name.pcap> -o "gui.column.format:\"Epoch Time\",\"%Cus:frame.time_epoch\",\"Src\",\"%Cus:ip.src:1\",\"Dst\",\"%Cus:ip.dst:1\",\"Proto\",\"%Cus:ip.proto:1\""

运行tshark -G column-formats以获得有关列格式的更多帮助。