linux – tcpdump – 如何根据tcp连接时间/持续时间过滤[closed]

发布时间：2020-12-13 19:43:32 所属栏目：Linux 来源：网络整理

导读：是否有可能根据tcp连接时间(连接持续时间)过滤tcpdump(实时或创建转储后)？我正在录制http json rpc流量. 我想记录只有比说1000毫秒更长的连接. 在wireshark中,在菜单 – 统计 – 对话(TCP选项卡)中有工具,我可以按“持续时间”排序.但我想记录(或过滤)长期

是否有可能根据tcp连接时间(连接持续时间)过滤tcpdump(实时或创建转储后)？

我正在录制http json rpc流量.
我想记录只有比说1000毫秒更长的连接.

在wireshark中,在菜单 – >统计 – >对话(TCP选项卡)中有工具,我可以按“持续时间”排序.但我想记录(或过滤)长期连接之前(不在wireshark).

在伪命令中,我想做这样的事情：

tcpdump -i eth0 port 80 and connectionTime>1000ms -w data.pcap

或录音后：

cat data.pcap | SOMETOOL -connectionTime>1000ms > dataLongConnections.pcap

SOMETOOL必须将筛选后的数据导出为Wireshark会理解的格式.
因为过滤后我想分析Wireshark中的数据.

我该怎么办？

解决方法

SplitCap可能适合你.它将PCAP作为每个TCP / UDP会话的输入和输出单独的PCAP.分割后,您可以从输出PCAP过滤有趣的.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!