linux – 查找前5个(根据发送的数据包数)源IP地址

我正在做一项任务,我被要求根据我给出的pcap文件回答某些问题.其中一个问题是找到前5个(根据发送的包数)源IP地址.

我提出了以下命令：

$tshark -r assign1.pcap | sort -n -7 | tail -n 5 | awk '{print $3}'

哪里

> tshark -r读取pcap文件
> assign.pcap是数据包捕获文件
> sort -n -7基于第7列对文件进行排序(此列具有每个ip地址的包长度)
> tail -n 5打印包含最长长度的最后5条记录
> awk'{print $3}仅打印第三列.

现在这是我的问题,因为我需要唯一的前5个源IP地址,所以我试图在脚本的末尾管道uniq命令,但没有帮助.我也尝试使用此link中的sort -u -t,-k3,3,但这也不会打印唯一的IP地址！

我的pcap文件列标题如下所示：

解决方法:

我想如果你使用-T字段重新组织tshark的输出,那就容易多了.我能够完成你想要的东西：

$tshark -r blah.pcap -T fields -e frame.len -e ip.src | sort -k 1n | tail -5
92  10.0.2.2
92  10.0.2.2
92  10.0.2.2
100 10.0.2.15
156 10.0.2.15

tshark领域

您可以使用此命令获取所有字段的列表：

$tshark -G field

但我发现有点难以阅读.如果要了解-G字段输出中的列,请在此处描述：tshark – Dump and analyze network traffic：

 * Header Fields
 * -------------
 * Field 1 = 'F'
 * Field 2 = descriptive field name
 * Field 3 = field abbreviation
 * Field 4 = type (textual representation of the ftenum type)
 * Field 5 = parent protocol abbreviation
 * Field 6 = base for display (for integer types); "parent bitfield width" for FT_BOOLEAN
 * Field 7 = bitmask: format: hex: 0x....
 * Field 8 = blurb describing field

如果你勇敢的话,你可以使用这个grep来过滤输出：

$tshark -G fields | grep -P '\s+(ip.src|frame.len)\s+'
F   Frame length on the wire    frame.len   FT_UINT32   frame   BASE_DEC    0x0
F   Source  ip.src  FT_IPv4 ip      0x0

参考

> enter link description here
> tshark tutorial and filter examples
> Counting IP occurrences in PCAP file using tshark
> Specific IP address display filter using tshark

标签：linux,shell,tshark,sort,kali-linux
来源： https://codeday.me/bug/20190813/1645869.html