0x00 前言

     tshark是WireShark的命令列版本，有類似tcpdump的輸出。在捕獲流量時，使用命令列模式，可以節省主機的資源消耗，並且一邊捕獲一邊顯示過濾，也對主機資源造成效能上的影響。所以在連續捕獲大流量的時候，可以使用命令列的方式進行捕獲流量

0x01 tshark 常用命令

tshark -D  # 列出可以進行監聽的介面

tshark -i 1 # 捕獲第一個介面的流量，並且顯示在螢幕上。1 代表使用-L 顯示出來的第一個介面，可以通過wireshark的圖形介面檢視介面：第一個介面的序號為1，第二個介面的序號為2

tshark -i 1 -w C:\2016.pcapng   #捕獲第一個介面的所有流量，並把流量檔案儲存在C:\2016.pcapng

tshark -i 1 -B 10 -p  -f " host 10.118.60.113" -w C:\2016.pcapng  #使用捕獲過濾器" host 10.118.60.113" ,不使用混雜模式監聽流量，增大快取為10M，捕獲第一個介面的所有流量，並把流量檔案儲存在C:\2016.pcapng

tshark -i 1 # 捕獲第一個介面的流量，並且顯示在螢幕上。1 代表使用引數“-D ”顯示出來的第一個介面，可以通過wireshark的圖形介面檢視介面：第一個介面的序號為1，第二個介面的序號為2

tshark -i 1 -p -w C:\2016.pcapng    #不使用混雜模式監聽流量，捕獲第一個介面的所有流量，並把流量檔案儲存在C:\2016.pcapng

tshark -np -i 1     #以管理模式進行捕獲流量

tshark -n -i 1       #以監聽模式進行捕獲流量

詳細的引數可參考如下：

tshark -h 或者man tshakrk

wireshark 主介面--【幫助】--【說明文件】--【tshark】

本地wireshark幫助文件:    C:\Program Files\Wireshark\user-guide.chm

0x02 tcpdump常用命令

tcpdump -D  # 列出可以進行監聽的介面

tcpdump -i 1 -w 2016  #捕獲介面1的流量包，並且儲存為2016

tcpdump host 10.202.37.88 -w 2016    #捕獲主機10.202.37.88的流量包，並且儲存

tcpdump -i 1 -vvv  -w 2016# 使用計數模式來顯示已經捕獲的資料包

tcpdump -i 1 -c 20000 -w 2016   #捕獲2000個包後，儲存檔案

0x03 linux設定監聽模式

第一步：

[email protected]~:# iwconfig wlan0 mode monitor channel 1
[email protected]~:# iwconfig wlan0 | grep Mode
          Mode:Monitor  Frequency:2.412GHz  Access Point: 00:00:00:00:00:00
[email protected]~:# ifconfig wlan0 | grep HWaddr
wlan0     Link encap:UNSPEC  HWaddr00-30-F1-0E-51-1F-00-00-00-00-00-00-00-00-00-00

[email protected]~:# wlanconfig ath0 destroy
[email protected]~:# wlanconfig ath0 create wlandev wifi0 wlanmode monitor
ath0
[email protected]~:# ifconfig ath0 up
[email protected]~:# iwconfig ath0 | grep Mode
Mode:monitor    Frequency:2.412 GHz    Access Point: 00:00:00:00:00:00

第三步：

[email protected]~:# rmmod ath_pci
[email protected]~:# modprobe ath_pci autocreate=none

0x04 參考資料

詳細的引數可參考如下：

tcpdump的本身幫助文件：     tcpdump -h 或者man tcpdump

tcpdump的官方幫助文件：     http://www.tcpdump.org/manpages/tcpdump.1.html

歡迎大家分享更好的思路，熱切期待^^_^^ !