Je pense que si vous réorganisez la sortie de tshark en utilisant -T fields c'est beaucoup plus facile. J'ai pu accomplir ce que vous voulez comme ça :
$ tshark -r blah.pcap -T fields -e frame.len -e ip.src | sort -k 1n | tail -5
92 10.0.2.2
92 10.0.2.2
92 10.0.2.2
100 10.0.2.15
156 10.0.2.15
champs tshark
Vous pouvez utiliser cette commande pour obtenir une liste de tous les champs :
$ tshark -G field
Mais j'ai trouvé ça un peu difficile à lire. Si vous voulez comprendre les colonnes du -G field sortie, ils sont décrits ici :tshark - Vider et analyser le trafic réseau :
* Header Fields
* -------------
* Field 1 = 'F'
* Field 2 = descriptive field name
* Field 3 = field abbreviation
* Field 4 = type (textual representation of the ftenum type)
* Field 5 = parent protocol abbreviation
* Field 6 = base for display (for integer types); "parent bitfield width" for FT_BOOLEAN
* Field 7 = bitmask: format: hex: 0x....
* Field 8 = blurb describing field
Vous pouvez utiliser ce grep pour filtrer la sortie si vous êtes courageux :
$ tshark -G fields | grep -P '\s+(ip.src|frame.len)\s+'
F Frame length on the wire frame.len FT_UINT32 frame BASE_DEC 0x0
F Source ip.src FT_IPv4 ip 0x0
Références
- entrez la description du lien ici
- tutoriel tshark et exemples de filtres
- Compter les occurrences d'IP dans le fichier PCAP à l'aide de tshark
- Filtre d'affichage d'adresse IP spécifique utilisant tshark