tshark停止标准

Question

我需要在满足特定条件后停止tshark（wireshark的命令行设备）。

从tshark手册页，我发现停止条件可以适用于持续时间，文件，文件大小和多个文件模式。

是否有任何停止条件，我可以通过捕获过滤器应用，以便tshark停止捕获。例如：在收到来自特定端口号的TCP SYN数据包（捕获过滤器中应用的条件）后，tshark停止捕获。

请回答这个谜语。

Answer 1

可以通过管道输出头，拿起你的查询，但你还需要禁用输出缓冲匹配的第一帧（stdbuf是的coreutils的一部分）

如（Linux）的

stdbuf -i0 -o0 -e0 tshark -r file.pcap -Y 'sctp.verification_tag == 0x2552' | head -1 

Mac：

gstdbuf -i0 -o0 -e0 tshark -r file.pcap -Y 'tcp.flags.syn == 1 && tcp.port == 80' | head -1