使用 tcpdump 或 tshark 时如何取消屏蔽 websocket？答案

【问题标题】：How to unmask websockets when using tcpdump or tshark?使用 tcpdump 或 tshark 时如何取消屏蔽 websocket？
【发布时间】：2017-04-11 06:28:08
【问题描述】：

以后无需启动 Wireshark 或存储和分析数据包。

如何在没有 websocket 那样的胡言乱语的情况下获得实时视图？

tcpdump -nnXSs 0 port 1234

【问题讨论】：

标签： bash websocket wireshark tcpdump tshark

【解决方案1】：

tshark -r out.pcap -Y websocket.payload -E occurrence=l -T fields -e text

未屏蔽的文本被移交给“基于行的文本数据”解析器，因此您需要为此使用字段选择器，并将出现设置为数据包中该字段的最后一个实例以消除“噪音”。我还添加了一个过滤器，将输出限制为包含 websocket 有效负载的数据包。

格雷厄姆在https://ask.wireshark.org/questions/60725/how-to-dump-websockets-live-with-tshark

【讨论】：

【解决方案2】：

Wireshark 2.0 版本中删除了该功能。

因此必须从 Ubuntu trusty 14.04 获取以下软件包并安装它们：

sudo dpkg -i wireshark-common_1.10.6-1_amd64.deb tshark_1.10.6-1_amd64.deb libwireshark3_1.10.6-1_amd64.deb libwsutil3_1.10.6-1_amd64.deb libwiretap3_1.10.6-1_amd64.deb libgnutls26_2.12.23-12ubuntu2.7_amd64.deb libgcrypt11_1.5.3-2ubuntu4.4_amd64.deb

禁用更新：

sudo apt-mark hold tshark

修复依赖：

sudo apt install -f

转储内容的命令：

tshark -e websocket.payload.text_unmask -Tfields port 1234

【讨论】：