| -Y | 显示过滤器 |
|---|---|
| -T fields -e | 字段提取输出 |
| 统计 | 管道 sort/uniq -c 汇总 |
| 输入 | -r 读取 pcap 文件 |
提取示例
提取示例
tshark -r http.pcap -Y 'http.request' -T fields -e http.host -e http.request.uri | sort | uniq -c | sort -rn | head
tshark -r dns.pcap -Y 'dns.flags.response == 0' -T fields -e dns.qry.name | sort -u大文件先用捕获过滤器切片，或分片读取，避免内存压力。