Wireshark tshark -R vs -Y 过滤器选项答案

【问题标题】：Wireshark tshark -R vs -Y filter optionWireshark tshark -R vs -Y 过滤器选项
【发布时间】：2017-01-24 03:50:02
【问题描述】：

tshark 提供-R 和-Y 过滤器，读取过滤器-R 和显示过滤器-Y 有什么区别。我一直在使用-Y 选项应用过滤器来获取日志子集，同时将它们转换为 pdml (xml) 以进行进一步处理。

tshark -r source.pcap -Y "(s1ap.procedureCode == 13 && nas_eps.nas_msg_emm_type == 0x5e )" -T pdml > filtered_xml.xml

这适用于 Windows 构建。但是 -Y 在 linux build 上是一个无效的选项。

mymachine{66}$ tshark -v
TShark 1.8.10 (SVN Rev Unknown from unknown)

-Y 和 -R 过滤器选项有什么区别？
在 linux 构建中我没有看到 -Y 选项，可以使用什么等效项？

来自 Windows 上的tshark -h

-R <read filter>         packet Read filter in Wireshark display filter syntax

-Y <display filter>      packet displaY filter in Wireshark display filter

【问题讨论】：

标签： wireshark tshark

【解决方案1】：

最近出现了一个类似的问题，所以您可能想阅读我对this 问题的回答。 -Y 选项直到 Wireshark 1.10.0 才可用，因此如果您希望能够使用 -Y，则需要在您的 Linux 平台上升级您的 Wireshark 版本。

【讨论】：