tshark工具介绍及使用场景

📖 工具简介

tshark 是 Wireshark 的命令行版本，一款开源的网络协议分析器，用于捕获、解析和分析网络流量。

⚙️ 核心功能

🔍 tshark vs Wireshark 对比

🎯 使用场景

1. 应急响应与安全分析

• 分析可疑流量，定位攻击行为

• 识别恶意通信（Webshell、远控木马）

• 检测异常协议（DNS 隧道、ICMP 隧道）

2. 渗透测试

• 抓包分析 SQL 注入、XSS 等漏洞利用

• 提取攻击者发送的 payload

• 验证漏洞利用是否成功

3. 故障排查

• 分析网络延迟、丢包问题

• 查看 TCP/UDP 连接状态

• 定位服务无法访问的原因

4. CTF 竞赛（MISC 方向）

• 流量分析取证题

• 从 pcap 中提取隐藏数据

• 还原文件传输内容

5. 自动化与批量处理

• 编写脚本批量分析流量

• 与其他工具联动（grep、awk、Python）

• 定时抓包并生成报告

📝 常用命令速查

# 基础抓包
tshark -i eth0 -c 100              # 抓 100 个包
tshark -i eth0 -w out.pcap         # 保存到文件
tshark -D                          # 列出可用网卡

# 过滤表达式
-Y http                           # HTTP 流量
-Y "ip.addr == 192.168.1.1"       # 特定 IP
-Y dns                            # DNS 查询
-Y "tcp.port == 80"               # 80 端口
-Y "http.request.method == POST"   # POST 请求

# 读取 pcap 文件
tshark -r out.pcap -Y http        # 分析文件
tshark -r out.pcap -q -z http,stat   # HTTP 统计
tshark -r out.pcap -q -z ip,stat     # IP 统计
tshark -r out.pcap -T fields -e http.request.uri  # 提取字段

# 提取关键信息
-T fields -e ip.src -e ip.dst    # 提取源/目的 IP
-T fields -e http.host -e http.request.uri  # 提取 URL

💡 选型建议