内置统计怎么用
命令行分析工具带有一组内置统计功能，不需要写任何脚本就能得到协议分层、会话汇总、应用层统计等常见报表，配合只输出统计的选项还可以避免逐包刷屏。典型用途是拿到大文件后先做一次概览，找出可疑的会话与协议分布，再决定往哪一段下钻。需要注意的是不同版本支持的统计项有差异，脚本里最好做兼容判断；对大文件则应当先过滤再统计，否则耗时不可控。
基本信息
| 用途 | 不写代码完成常见统计 |
|---|---|
| 常用统计 | 协议分层、会话汇总、应用层统计 |
| 输出控制 | 使用只输出统计的选项避免逐包刷屏 |
| 版本差异 | 支持的数据项随版本变化 |
| 性能建议 | 大文件先过滤再统计 |
典型使用场景
- 文件概览：先看协议分布与会话排名，确定下钻方向
- 会话定位：按流量排序找出需要重点关注的会话
- 应用层统计：查看请求响应层面的分布特征
- 报告素材：把统计输出直接整理进报告
- 分段对比：配合时间窗过滤做前后对比
常用统计
常用统计
tshark -r a.pcap -q -z conv,tcp # 会话汇总
tshark -r a.pcap -q -z io,phs # 协议分层
# 均配合只输出统计的选项，避免逐包刷屏
# 大文件先加过滤条件再统计统计类型与用途
| 统计类型 | 回答的问题 | 注意 |
|---|---|---|
| 协议分层 | 各协议占比如何 | 快速判断流量构成 |
| 会话汇总 | 哪些会话流量最大 | 用于定位重点会话 |
| 应用层统计 | 请求响应分布情况 | 需确认版本是否支持 |
| 时间分段 | 各时段差异如何 | 必须使用一致的过滤条件 |
统计输出本身就可以作为报告素材，配合时间窗过滤还能做分段对比，但两份输出的过滤条件必须一致才具备可比性。
不同版本支持的数据项不同，脚本里直接调用未支持的项会报错，建议先做兼容判断再纳入自动化流程。