常用命令
常用命令
tshark -i eth0 -f 'tcp port 443' -c 20
tshark -i eth0 -Y 'tcp.analysis.retransmission' -T fields -e frame.number -e ip.src -e tcp.seq
tshark -r cap.pcap -Y 'http.response.code >= 500' -T fields -e frame.number -e ip.src -e http.response.code
tshark -r cap.pcap -q -z conv,tcp | head -20
tshark -r cap.pcap -q -z io,stat,1,'COUNT(frame)frame'参数
| 参数 | 用途 |
|---|---|
| -f | 捕获过滤器（BPF，同 tcpdump） |
| -Y | 显示过滤器（Wireshark 语法） |
| -T fields -e F | 输出指定字段的制表符分隔文本 |
| -z | 统计（conv/io,stat/expert 等） |
| -w / -r | 写 pcap / 读 pcap |
tcpdump 抓包 + tshark 解析是生产排障的黄金组合：前者稳定轻量，后者解析能力全。