tshark로 장치 특정 USB 패킷을 어떻게 캡처합니까?
나는 장치 ID (0x0009)와 공급 업체 ID (0x08f7)를 알고 있는데 tshark를 통해 캡처하려는 정확한 장치를 어떻게 지정할 수 있습니까?
좀 더 자세히 살펴보고 싶을 수도 있습니다. tshark (1) - Linux 매뉴얼 페이지 그리고 tshark - Wireshark 매뉴얼 페이지 그리고 -f
과 -i
스위치 옵션.
또한 Wireshark 캡춰 필터 그리고 Wireshark USB 디스플레이 필터 레퍼런스 필터링하고 사용자의 필요에 맞는 명령을 작성하는 데 유용 할 수 있습니다.
다음과 같은 캡처 필터 표현식을 사용할 수 있습니다. usb.device_address == #
또는 usb.addr == #
와 더불어 -f
스위치를 누르면 특정 USB 장치의 패킷 만 캡처합니다.
캡처 또는 읽기 필터는 - 에프 또는 - 아르 자형 옵션을 사용합니다.이 경우 전체 필터 표현식은
단일 인수로 지정 될 수 있습니다 (즉, 포함하는 경우
공백, 따옴표로 묶어야 함) 또는 명령 줄과 함께 지정할 수 있습니다
옵션 인수 뒤의 인수.이 경우 모든 인수
필터 인수가 필터 식으로 처리 된 후 포착
필터는 라이브 캡처를 수행 할 때만 지원됩니다. 읽기 필터는
실시간 캡처를 수행 할 때 및 캡처 파일을 읽을 때 지원되며,
그러나 필터링 할 때 TShark에 더 많은 작업을 요구하므로
읽기를 사용하는 경우로드가 많은 경우 패킷 손실 가능성이 높습니다.
필터. 필터가 명령 줄 인수와 함께 지정된 경우
옵션 인수. 캡처가 완료되면 캡처 필터입니다.
(즉, -r 옵션이 지정되지 않은 경우) 캡처
파일을 읽는 중입니다 (즉, -아르 자형 옵션이 지정됨).
-f <capture filter>
캡처 필터 표현식을 설정하십시오.
이 옵션은 여러 번 발생할 수 있습니다. 처음 사용하기 전에
-i 옵션이 발생하면 기본 캡처 필터를 설정합니다.
표현. -i 옵션 뒤에 사용하면 캡처 필터를 설정합니다.
마지막 -i 옵션에 의해 지정된 인터페이스에 대한 표현식 발생
이 옵션 앞에. 캡처 필터 표현식이 설정되지 않은 경우
특히 기본 캡처 필터 표현식은 다음과 같이 사용됩니다.
제공됩니다.
출처
-i <capture interface>|-
라이브 패킷에 사용할 네트워크 인터페이스 또는 파이프의 이름 설정
포착.
네트워크 인터페이스 이름은 다음에 나열된 이름 중 하나와 일치해야합니다.
" tshark -D "(위에 설명)," tshark -D ",
또한 사용할 수 있습니다. UNIX를 사용하는 경우 " netstat -i "또는" ifconfig -a "
모든 버전의 인터페이스 이름은 아니지만 인터페이스 이름을 나열 할 수도 있습니다.
UNIX는 ifconfig에 -a 옵션을 지원합니다.
인터페이스가 지정되지 않은 경우, TShark 인터페이스 목록을 검색하고,
루프백 인터페이스가없는 경우 첫 번째 비 루프백 인터페이스 선택
비 루프백 인터페이스 및 첫 번째 루프백 인터페이스 선택
비 루프백 인터페이스는 없습니다. 에 인터페이스가없는 경우
모든, TShark 오류를보고하고 캡처를 시작하지 않습니다.
파이프 이름은 FIFO (명명 된 파이프) 또는 "-"의 이름이어야합니다.
표준 입력으로부터 데이터를 읽는다. 파이프에서 읽은 데이터가 있어야합니다.
표준 libpcap 형식.
참고 : Win32 버전의 TShark 에서 캡처를 지원하지 않습니다.
파이프!
출처
usb.device_address == #
아마도 그 값에 대한 장치 주소를 지정하기 만하면됩니다.