Penso che se riorganizzi l'output da tshark utilizzando -T fields è molto più facile. Sono stato in grado di realizzare ciò che desideri in questo modo:
$ tshark -r blah.pcap -T fields -e frame.len -e ip.src | sort -k 1n | tail -5
92 10.0.2.2
92 10.0.2.2
92 10.0.2.2
100 10.0.2.15
156 10.0.2.15
campi tshark
Puoi utilizzare questo comando per ottenere un elenco di tutti i campi:
$ tshark -G field
Ma l'ho trovato un po' difficile da leggere. Se vuoi capire le colonne nel -G field output, sono descritti qui:tshark - Scarica e analizza il traffico di rete:
* Header Fields
* -------------
* Field 1 = 'F'
* Field 2 = descriptive field name
* Field 3 = field abbreviation
* Field 4 = type (textual representation of the ftenum type)
* Field 5 = parent protocol abbreviation
* Field 6 = base for display (for integer types); "parent bitfield width" for FT_BOOLEAN
* Field 7 = bitmask: format: hex: 0x....
* Field 8 = blurb describing field
Puoi usare questo grep per filtrare l'output se sei coraggioso:
$ tshark -G fields | grep -P '\s+(ip.src|frame.len)\s+'
F Frame length on the wire frame.len FT_UINT32 frame BASE_DEC 0x0
F Source ip.src FT_IPv4 ip 0x0
Riferimenti
- inserisci qui la descrizione del link
- tutorial su tshark ed esempi di filtri
- Conteggio delle occorrenze IP nel file PCAP utilizzando tshark
- Filtro di visualizzazione dell'indirizzo IP specifico utilizzando tshark