從Tshark捕獲數據

Tshark是一個命令行數據包嗅探器。我試圖找到一種方法來從數據包中獲取信息，將其放入一個變量中並對其進行一些正則表達式。從Tshark捕獲數據

現在，我從tshark的得到這個：

Capturing on eth0 
    0.000000 74.125.71.116 -> 112.204.184.111 TCP http > 55828 [ACK] Seq=1 Ack=1 Win=6434 Len=0 TSV=2558834852 TSER=542043 
    0.000035 112.204.184.111 -> 74.125.71.116 HTTP Continuation or non-HTTP traffic 
    0.000043 112.204.184.111 -> 74.125.71.116 HTTP Continuation or non-HTTP traffic

注：我使用的紅寶石。

來源

2011-07-26 Thorpe Obazee

你想提取什麼樣的信息？你在做什麼（使用正則表達式）？ – 2011-07-26 22:29:45

我正在尋找獲取視頻的網址，例如來自視頻網站的.flv，mp4，m4v文件等。 –

你既可以管這個數據到一個文件，然後打開並使用Ruby解析，或者你可以使用一個Ruby的lib可以訪問相同的數據，如：http://sourceforge.net/apps/trac/rubypcap/

來源

2011-07-26 11:43:34

如何將數據傳輸到文件中？ –

'tshark -R http.request.full_uri -T fields -e http.request.full_uri >> output.txt' –

您可以使用tshark本身不另一個工具。從分組此命令打印出所有的URI，他們到達：

$ tshark -R http.request.full_uri -T fields -e http.request.full_uri -i en0

您可以細化display filter（在-R參數），以更好地滿足您的要求。 它甚至還支持Perl的正則表達式匹配：從來訪

# Mac OS X 
$ tshark -R 'http.request.full_uri matches "\\.jpg\|\\.js"' -T fields -e http.request.full_uri -i en0

示例輸出youtube.com：

$ tshark -R 'http.request.full_uri matches "\\.jpg\|\\.js"' -T fields -e http.request.full_uri -i en0 
Capturing on en0 

http://s.ytimg.com/yt/jsbin/www-core-vfl3_mVgh.js 
http://s.ytimg.com/yt/jsbin/www-subscriptions-vfl5HwfxW.js 
http://i2.ytimg.com/i/QMbqH7xJu5aTAPQ9y_U7WQ/1.jpg?v=95416b 
http://i1.ytimg.com/vi/4R0BAjrZqyY/default.jpg 
http://i4.ytimg.com/i/KVtW8ExxO21F2sNLtwrq_w/1.jpg?v=a1fa0c 
http://i3.ytimg.com/vi/z3U0udLH974/default.jpg 
http://i2.ytimg.com/vi/arKyyDRsE_8/default.jpg 
http://i2.ytimg.com/vi/y1TGz-fEyiE/default.jpg 
http://i2.ytimg.com/vi/-tc983PZK3o/default.jpg 
http://i2.ytimg.com/vi/1yT2rrTyMK8/default.jpg 
http://i4.ytimg.com/vi/cciUXpITsu0/default.jpg 
http://i2.ytimg.com/vi/uG0dimAxHpI/default.jpg 
http://i2.ytimg.com/vi/eP9P50kbzTk/default.jpg 
http://i1.ytimg.com/vi/ppBe0T412uU/default.jpg 
http://i1.ytimg.com/vi/8360wVLtEuk/default.jpg 
http://i4.ytimg.com/vi/G_yB7wdTxa0/default.jpg 
http://i4.ytimg.com/vi/gcZxoLs3NIU/default.jpg 
http://i1.ytimg.com/i/po2fJvnalYlwN97ehhyfBQ/1.jpg?v=b8e52a 
http://i1.ytimg.com/vi/D2Xjj_ra8lQ/default.jpg 
http://i1.ytimg.com/vi/PewewGu9gp8/default.jpg 
http://i1.ytimg.com/vi/P9FkRD6ppGo/default.jpg 
http://i3.ytimg.com/vi/vpZ4SMU4znQ/default.jpg 
http://i3.ytimg.com/vi/jrrSGulNOLc/default.jpg 
http://i3.ytimg.com/vi/FJtTzQfdnoQ/default.jpg 
http://i3.ytimg.com/vi/68sEHPpQXes/default.jpg 
http://i2.ytimg.com/vi/iWYqsaJk_U8/default.jpg 
http://i4.ytimg.com/vi/7Prb8DbdfwY/default.jpg 
http://i1.ytimg.com/vi/HJFlxLJSX8E/default.jpg 
http://i1.ytimg.com/vi/ta6Vu_v7VLg/default.jpg 
http://i1.ytimg.com/vi/Hq7NtDSIErE/default.jpg 
http://i4.ytimg.com/vi/Sjdj7qhcTuw/default.jpg 
http://i3.ytimg.com/vi/Nm3Acf3_oMY/default.jpg 
http://i3.ytimg.com/vi/BpsrThXh_gM/default.jpg 
http://i3.ytimg.com/vi/Z3yapgewktY/default.jpg 
http://i3.ytimg.com/vi/2UFc1pr2yUU/default.jpg 
http://i2.ytimg.com/vi/q_Bt6NwD4FY/default.jpg 
http://i2.ytimg.com/vi/uTAAlzABzBA/default.jpg 
http://i2.ytimg.com/vi/iRLUY6dMF8k/default.jpg 
http://i2.ytimg.com/vi/-cDH6CYzTAw/default.jpg 
http://i1.ytimg.com/vi/8p6Fn8R1Rc4/default.jpg 
http://i1.ytimg.com/vi/T8gDQWdlW6A/default.jpg 
http://i2.ytimg.com/vi/ERTcZV7uTFU/default.jpg 
http://i1.ytimg.com/vi/PyxgwA6PvnI/default.jpg 
http://i1.ytimg.com/vi/xUGlezOCvu4/default.jpg 
http://i1.ytimg.com/vi/Ljb6Mne8Mfc/default.jpg

注：在Windows中，我見過tshark打印所有URI在特定的分組在一行中沒有分隔符（例如，"http://www.google.comhttp://www.google.com/logos/classicplus.png"）。只有一些數據包受此影響。

來源

2011-07-27 17:31:52

從Tshark捕獲數據

回答

相關問題