tshark 在实时捕获期间无法过滤 MAC 地址

Question

我正在尝试使用 tshark 捕获数据包，并且我想为 wlan 源地址添加过滤器，所以我尝试了以下三个步骤，但都没有成功。

 ubuntu:/home/test$  tshark -i mon0 -w /tmp/test11.pcap -a duration:15 -R 
 (wlan.sa == 3e:52:82:c1:2e:a9)"

tshark：不推荐使用不带 -2 的 -R。对于单通过滤，请使用 -Y。

 ubuntu:/home/test$  tshark -i mon0 -w /tmp/test11.pcap -a duration:15 -Y "
 (wlan.sa == 3e:52:82:c1:2e:a9)"

tshark：捕获和保存捕获的数据包时不支持显示过滤器。

ubuntu:/home/test$  tshark -i mon0 -w /tmp/test11.pcap -a duration:15 -2R "
(wlan.sa == 3e:52:82:c1:2e:a9)"

tshark：实时捕获不支持两次分析。

如何为wlan地址添加过滤器

Answer 1

您在捕获模式下使用 tshark（相对于离线，在捕获文件上），因此您需要使用捕获过滤器，它有自己的语法（据我所知与 tcpdump 相同）。捕获过滤器不需要标志（没有-R 或-Y）：

tshark -i mon0 -w /tmp/test11.pcap -a duration:15 ether src 3e:52:82:c1:2e:a9