linux – 查找前5个(根据发送的数据包数)源IP地址
内容导读
互联网集市收集整理的这篇技术教程文章主要介绍了linux – 查找前5个(根据发送的数据包数)源IP地址，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1731字，纯文字阅读大概需要3分钟。
内容图文
我正在做一项任务,我被要求根据我给出的pcap文件回答某些问题.其中一个问题是找到前5个(根据发送的包数)源IP地址.
我提出了以下命令：
$tshark -r assign1.pcap | sort -n -7 | tail -n 5 | awk '{print $3}'
哪里
> tshark -r读取pcap文件
> assign.pcap是数据包捕获文件
> sort -n -7基于第7列对文件进行排序(此列具有每个ip地址的包长度)
> tail -n 5打印包含最长长度的最后5条记录
> awk'{print $3}仅打印第三列.
现在这是我的问题,因为我需要唯一的前5个源IP地址,所以我试图在脚本的末尾管道uniq命令,但没有帮助.我也尝试使用此link中的sort -u -t,-k3,3,但这也不会打印唯一的IP地址！
我的pcap文件列标题如下所示：
解决方法:
我想如果你使用-T字段重新组织tshark的输出,那就容易多了.我能够完成你想要的东西：
$tshark -r blah.pcap -T fields -e frame.len -e ip.src | sort -k 1n | tail -5
92 10.0.2.2
92 10.0.2.2
92 10.0.2.2
100 10.0.2.15
156 10.0.2.15
tshark领域
您可以使用此命令获取所有字段的列表：
$tshark -G field
但我发现有点难以阅读.如果要了解-G字段输出中的列,请在此处描述：tshark – Dump and analyze network traffic：
* Header Fields
* -------------
* Field 1 = 'F'
* Field 2 = descriptive field name
* Field 3 = field abbreviation
* Field 4 = type (textual representation of the ftenum type)
* Field 5 = parent protocol abbreviation
* Field 6 = base for display (for integer types); "parent bitfield width" for FT_BOOLEAN
* Field 7 = bitmask: format: hex: 0x....
* Field 8 = blurb describing field
如果你勇敢的话,你可以使用这个grep来过滤输出：
$tshark -G fields | grep -P '\s+(ip.src|frame.len)\s+'
F Frame length on the wire frame.len FT_UINT32 frame BASE_DEC 0x0
F Source ip.src FT_IPv4 ip 0x0
参考
> enter link description here
> tshark tutorial and filter examples
> Counting IP occurrences in PCAP file using tshark
> Specific IP address display filter using tshark
内容总结
以上是互联网集市为您收集整理的linux – 查找前5个(根据发送的数据包数)源IP地址全部内容，希望文章能够帮你解决linux – 查找前5个(根据发送的数据包数)源IP地址所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。
内容备注
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。
内容手机端
扫描二维码推送至手机访问。