Exibir e exportar coluna de dados wireshark

Exibir e exportar coluna de dados wireshark

Capturei os pacotes modbus e quero saber como posso exibir meus dados em minhas colunas para exportar como arquivo csv posteriormente. Anexo uma imagem do tipo de dados que desejo exibir e exportar

1

Responder1

Para cada campo que você deseja adicionar como coluna, a maneira mais fácil é primeiro selecionar o campo, digamos o"Código de Função"como um exemplo. Ao selecioná-lo, você notará que a linha de status na parte inferior da janela do Wireshark mostrará qual é o filtro de exibição do Wireshark para aquele campo e, neste exemplo, será modbus.func_code. Esta é uma maneira de aprender o filtro de exibição para um determinado campo.

Agora, se você clicar com o botão direito no campo, poderá escolherAplicar como coluna. O campo será adicionado como uma nova coluna. Depois de adicionado, você pode arrastar e soltar o campo em qualquer local de coluna desejado. Você também pode adicionar colunas através do menu principal, mas se adicioná-las desta forma, você terá que saber o nome do filtro de exibição do Wireshark para digitá-lo ao adicioná-lo, o que pode ser feito:Editar -> Preferências -> Colunas -> + -> [Clique duas vezes no título padrão da Nova coluna e renomeie-o, clique duas vezes no tipo de número padrão e escolha Personalizado, clique duas vezes em Campos e digite o filtro de exibição, por exemplo, modbus. código_função].

Se você não sabe o nome do filtro de exibição, pode procurá-lo de pelo menos três maneiras diferentes:

  1. O WiresharkReferência de filtro de exibiçãolista todos os filtros de exibição e a quais versões do Wireshark cada filtro de exibição se aplica.
  2. Na GUI do Wireshark: Editar ->Ver -> Internos -> Protocolos Suportados -> Modbus -> [Expandir]
  3. Você também pode usartsharkpara exibi-los, por exemplo:

No Windows:

tshark -G fields | findstr "modbus\."

Em *nix:

tshark -G fields | grep "modbus\."

Você pode repetir esse processo para quantos campos desejar. Antes de adicionar campos específicos do modbus às colunas, pode valer a pena primeiro criar um novo"Modbus"profile para que esses campos sejam mostrados apenas como colunas quando você estiver examinando pacotes modbus. Adicione um novo perfil clicando com o botão direito no perfil no canto inferior direito da barra de status e escolhaNovoouGerenciar perfis. Você também pode adicionar um novo perfil através do menu principal:Editar -> Perfis de configuração.

Mencionei tsharkacima; é o equivalente em linha de comando do Wireshark e permite imprimir apenas os campos desejados, então você pode redirecionar essa saída para um arquivo de texto que pode ser importado para outros programas para processamento posterior. Um exemplo:

tshark -r file.pcap -Y "modbus" -T fields -E separator=/t -e frame.number -e modbus.func_code -e modbus.byte_cnt > file.txt

tsharktem muitas opções, portanto, leia a página de manual para entender melhor como usá-lo.

Se você não estiver usando tshark, exporte os dados da GUI do Wireshark usando:Arquivo -> Exportar dissecações de pacotes -> Como CSV... -> [Marque/desmarque as opções desejadas, escolha um nome de arquivo e clique em Salvar].

Finalmente, o WiresharkGuia de usuariotambém é uma ótima referência.

informação relacionada