dumpcap怎样进行数据包分析

Dumpcap主要用于捕获数据包，分析需结合Wireshark/tshark，步骤如下：

1. 捕获数据包：

   sudo dumpcap -i <接口> -w <文件名>.pcap [过滤条件]  
   

   • 示例：捕获eth0接口的HTTP流量并保存为http.pcap：

     sudo dumpcap -i eth0 -w http.pcap "tcp port 80"  
     

2. 用Wireshark分析：

   • 打开.pcap文件：wireshark <文件名>.pcap
   • 过滤显示：在顶部过滤器栏输入BPF表达式（如ip.addr == 192.168.1.1）。
   • 统计分析：通过Statistics菜单查看吞吐量、延迟等指标，或使用时间线视图可视化流量。

3. 用tshark高级分析：

   • 提取特定字段（如源IP、端口）：

     tshark -r <文件名>.pcap -T fields -e ip.src -e tcp.port  
     

   • 导出为CSV：

     tshark -r <文件名>.pcap -T fields -e frame.number -e ip.src -w output.csv  
     

注意：Dumpcap需root权限，复杂分析建议优先使用Wireshark GUI。