Есть ли способ программно экспортировать файлы, используя средства Wireshark?

Question

Я пытаюсь автоматизировать повторяющиеся ручной процесс, для которого я использую WireShark:

1) Загрузите данный PCAP файл

2) Применить простой фильтр для данного протокола

3) Используйте экспорта для экспорта отображаемых пакетов в файл CSV

4) Используйте диалоговое окно экспорта для экспорта отображаемых пакетов в формате XML PDML.

Это утомительно и требует участия человека в середине процесса, который в основном автоматизирован (включая анализ файлов для создания отчетов).

Есть ли способ автоматизировать Wireshark или каким-то образом получить доступ к базовым библиотекам, используемым для экспорта?

ОБНОВЛЕНИЕ: Как указали здесь несколько человек, TShark оказывается в пути. Точную командной строки я в конечном итоге, используя это:

tshark -r MyDataFile.pcap -T pdml -R MyProtocol > MyOutputFile.xml\ 

тогда я использую события на основе XML-анализатор (эмигрантов в Python) для анализа сгенерированного 2GB файлу

Answer 1

Я смотрел в списке зависимостей wirehark на моей системе debian, и я нашел Tshark: это версия командной строки wirehark.

Кажется интересным, но я еще не читал руководство, однако это наверняка больше дружественного к сценарию.

Также я буду следить за этой темой и публиковать больше информации, когда я начну ее использовать.

Answer 2

Я никогда не пытался автоматизировать Wireshark, прежде , хотя мне приходилось делать что-то похожее на то, что вы описываете. Я закончил тем, что уменьшил количество человеческих (и, следовательно, подверженных ошибкам) ​​шагов до одного шага, который был автоматизирован.

Autohotkey - мое решение для множества повторяющихся задач на основе графического интерфейса. Вы можете легко написать сценарий воспроизведения нажатия клавиш, который выполнит все вышеперечисленные шаги. Вероятно, вам придется автоматически увеличивать имя файла. Вы также можете использовать свой другой автоматический инструмент для запуска сценария Autohotkey с нажатием клавиши.

Answer 3

Я думаю, что вы должны сделать, это посмотреть на tshark. Это версия командной строки linux, которая позволит точно спросить (если у вас есть к ней доступ). И, конечно, это предполагает, что допустимо запускать tshark, а затем просматривать результаты вручную.