Creo que si reorganizas la salida de tshark usando -T fields es mucho más fácil Pude lograr lo que quieres así:
$ tshark -r blah.pcap -T fields -e frame.len -e ip.src | sort -k 1n | tail -5
92 10.0.2.2
92 10.0.2.2
92 10.0.2.2
100 10.0.2.15
156 10.0.2.15
campos de tiburones
Puede usar este comando para obtener una lista de todos los campos:
$ tshark -G field
Pero me resultó un poco difícil de leer. Si quieres entender las columnas en el -G field salida, se describen aquí:tshark - Volcar y analizar el tráfico de red:
* Header Fields
* -------------
* Field 1 = 'F'
* Field 2 = descriptive field name
* Field 3 = field abbreviation
* Field 4 = type (textual representation of the ftenum type)
* Field 5 = parent protocol abbreviation
* Field 6 = base for display (for integer types); "parent bitfield width" for FT_BOOLEAN
* Field 7 = bitmask: format: hex: 0x....
* Field 8 = blurb describing field
Puedes usar este grep para filtrar la salida si eres valiente:
$ tshark -G fields | grep -P '\s+(ip.src|frame.len)\s+'
F Frame length on the wire frame.len FT_UINT32 frame BASE_DEC 0x0
F Source ip.src FT_IPv4 ip 0x0
Referencias
- ingrese la descripción del enlace aquí
- tutorial de tshark y ejemplos de filtros
- Recuento de ocurrencias de IP en un archivo PCAP usando tshark
- Filtro de visualización de dirección IP específica usando tshark