tshark
[wireshark en modo consola]. Capturar paquetes y visualizarlos por pantalla:
$ sudo tshark -s 0 -i eth0
especifica una longitud de captura de 262144, de modo que se captura el paquete completo; es el valor predeterminado
$ sudo tshark -D
Ver las interfaces de red disponibles
$ sudo tshark -i eth0 -s 0 > captura.pcap
capturar información y pasarla a un archivo
$ sudo tshark -i enp1s0 -s 0 -S "u" > captura1.pcap
lo mismo especificando un separador de lineas por fecha UTC
Las opciones de -S son
"a" para absoluto
"ad" para absoluto con fecha YYYY-MM-DD
"adoy" para absoluto con fecha YYYY/DOY
"d" para delta
"dd" para delta mostrado
"e" para época
"r" para relativo
"u" para absoluto UTC
"ud" para absoluto UTC con fecha YYYY-MM-DD
"udoy" para absoluto UTC con fecha YYYY/DOY
$ sudo tshark -i enp1s0 -s 0 -a duration:3600 > captura2.pcap
especificando el tiempo que durará la captura - 1 hora
$ sudo tshark -i eth0 -b duration:30 -a filesize:3000 > captura3.pcap (captura durante 30 segundos y una cantidad máxima de 3000 Kb
$ sudo tshark -i enp1s0 -f "port 80" > captura3.pcap
capturar solo los que pasan por el puerto 80
$ sudo tshark -i enp1s0 -c 100 > captura4.pcap
limitar la captura a 100 paquetes
$ sudo tshark -i 1 -f “dst port 80”
ver el tráfico web realizado en el puerto 80
$ sudo tshark -i 1 -f “host 192.168.18.17”
conocer el tráficode una IP
$ sudo tshark -i 1 -Y “tcp.port == 22”
capturar el tráfico de los paquetes que tienen como destino un servidor al que se accede remotamente por SSH
$ sudo shark -r ~/test.pcap
leer un archivo de resultados