我如何使Wireshark过滤器的端口时，从标准阅读？

Question

我正在从RawCap生成的转储文件中传输到Wireshark，以便监视本地流量，我如何指示wireshark只显示到某个目的地端口的流量？

我在一个Cygwin shell中运行RawCap，在另一个shell中运行Wireshark来监视RawCap的输出：

Shell 1:

RawCap.exe -f 127.0.0.1 dumpfile.pcap

Shell 2:

# How do I tell Wireshark to show only traffic to port 10000?
tail -c +0 -f dumpfile.pcap | Wireshark.exe -k -i -

Answer 1

指示wireshark过滤显示的数据包的适当标志是-Y，因为它的手册页报告：

-Y <display filter>从给定的显示过滤器开始

若要筛选TCP的目标端口，请使用tcp.dstport==X，其中X指定端口。

因此，完整的命令是：

tail -c +0 -f dumpfile.pcap | wireshark -k -i - -Y "tcp.dstport==10000"

这是显示过滤器信息的良好起点。关于这个主题的完整参考是可用的这里，对其语法的详细解释是可用的这里。但是，值得注意的是，大多数基本的过滤器都可以通过简单的在线搜索找到。