简介
在网络安全领域，捕获、分析和导出网络流量数据的能力对于理解和缓解安全威胁至关重要。本教程将指导你使用 Wireshark 命令行界面（CLI）来保存和导出网络安全网络捕获内容，为你提供增强网络安全工作流程所需的技能。
介绍 Wireshark 命令行界面
Wireshark 是一款功能强大的网络协议分析工具，在网络安全领域被广泛使用。虽然 Wireshark 提供了用于捕获和分析网络流量的图形用户界面（GUI），但它也提供了一个名为 Wireshark CLI 或 tshark 的命令行界面（CLI）。
什么是 Wireshark CLI？
Wireshark CLI，即 tshark，是 Wireshark 网络分析器的基于终端的版本。它允许你直接从命令行捕获、过滤和分析网络流量，无需图形界面。这使得它在自动化任务、脚本编写和远程监控场景中特别有用。
使用 Wireshark CLI 的好处
- 可脚本化：Wireshark 的 CLI 界面使你能够编写脚本并自动化各种网络分析任务，从而在重复或大规模操作中提高效率。
- 远程访问：Wireshark CLI 可用于捕获和分析远程系统上的网络流量，使你能够从中央位置排查和调查网络问题。
- 资源高效：与 GUI 相比，Wireshark 的 CLI 版本通常更轻量级且资源高效，适用于资源有限的系统或长时间运行的捕获会话。
- 与其他工具集成：Wireshark CLI 可以轻松地与其他命令行工具和脚本集成，使你能够创建全面的网络分析工作流程。
开始使用 Wireshark CLI
要使用 Wireshark CLI，你的系统上需要安装 Wireshark。在 Ubuntu 22.04 上，你可以使用以下命令安装 Wireshark：
sudo apt update
sudo apt-get install wireshark安装完成后，你可以在终端中运行tshark命令来启动 Wireshark CLI。
tshark这将启动 Wireshark CLI 并显示可用的选项和命令。
捕获网络流量
Wireshark CLI 的主要功能之一是捕获网络流量。这使你能够监控和分析流经网络的数据，这对于各种网络安全任务至关重要，例如排查网络问题、检测安全威胁以及分析网络协议。
捕获网络接口
要使用 Wireshark CLI 捕获网络流量，你需要指定要监控的网络接口。你可以使用以下命令列出系统上可用的网络接口：
tshark -D这将显示 Wireshark CLI 可以从中捕获的所有网络接口的列表。
开始捕获会话
一旦你确定了要捕获的网络接口，就可以使用以下命令开始捕获会话：
tshark -i <接口>将<接口>替换为你要捕获的网络接口的名称，例如eth0或wlan0。
过滤捕获的流量
Wireshark CLI 允许你根据各种标准过滤捕获的网络流量，例如协议、源或目标 IP 地址或端口号。你可以使用-f选项指定捕获过滤器。例如，要仅捕获 HTTP 流量：
tshark -i "tcp port 80" < 接口 > -f此命令将仅捕获端口 80 上的网络流量，该端口通常用于 HTTP 协议。
捕获到文件
除了在终端中显示捕获的流量外，你还可以将网络捕获保存到文件中以供以后分析。你可以使用-w选项指定输出文件：
tshark -i capture.pcapng < 接口 > -w这会将捕获的网络流量保存到名为capture.pcapng的文件中，该文件采用 PCAPNG 文件格式，这是网络捕获的标准格式。
保存和导出捕获内容
使用 Wireshark CLI 捕获网络流量后，你可能希望保存捕获的数据以供后续分析，或者与他人共享。Wireshark CLI 提供了多种保存和导出网络捕获内容的选项。
将捕获的数据保存到文件
如前所述，你可以使用-w选项将捕获的网络流量保存到文件：
tshark -i capture.pcapng < 接口 > -w这会将捕获的数据保存为 PCAPNG 文件格式，这是网络捕获的一种标准格式，可以在 Wireshark 或其他网络分析工具中打开。
以不同格式导出捕获的数据
除了 PCAPNG 格式外，Wireshark CLI 还支持以其他格式导出捕获的数据，例如：
- PCAP：传统的 Wireshark 捕获文件格式
- CSV：逗号分隔值格式，可以轻松导入电子表格应用程序
- JSON：JavaScript 对象表示法格式，对于编程分析很有用
要以不同格式导出捕获的数据，可以使用-T选项，后跟所需的格式。例如，要以 CSV 格式导出捕获的数据：
tshark -i capture.csv -T fields -e frame.time -e ip.src -e ip.dst -e tcp.srcport -e tcp.dstport -e tcp.len < 接口 > -w此命令会将捕获的数据保存到 CSV 文件中，其中包含时间戳、源和目标 IP 地址、源和目标端口以及 TCP 数据包长度等列。
过滤并导出特定数据
Wireshark CLI 还允许你在导出之前过滤捕获的数据。如果你只需要分析捕获流量的特定子集，这会很有用。你可以使用-Y选项指定显示过滤器，并使用-w选项将过滤后的数据保存到文件。
tshark -i "http" -w http_traffic.pcapng < 接口 > -Y此命令将仅捕获 HTTP 流量并保存到名为http_traffic.pcapng的文件中。
通过利用 Wireshark CLI 强大的命令行功能，你可以自动化捕获、保存和导出网络流量数据的过程，使其成为网络安全专业人员和网络管理员的宝贵工具。
总结
在本教程结束时，你将学会如何利用 Wireshark CLI 有效地捕获、保存和导出网络流量数据，以用于网络安全分析。这些知识将使你能够简化网络安全工作流程，确保你拥有识别、调查和处理与安全相关事件所需的数据。
