如何通过命令行将解析后的Pcap文件导出为文本文件？

当然可以通过Tshark（Wireshark的命令行工具）完全实现图形界面中的解析后数据包导出功能，以下是对应不同需求的常用命令：

1. 导出完整解析内容（对应图形界面“导出纯文本（详细）”） #

如果需要导出每个数据包的完整解析细节（和图形界面中数据包面板显示的内容一致），使用以下命令：

tshark -r input.pcap -V > output.txt

• -r input.pcap：指定要读取的Pcap文件路径
• -V：启用详细解析模式，输出数据包的完整分层解析内容
• > output.txt：将命令输出重定向到目标文本文件

2. 导出过滤后的解析内容 #

如果只需要导出符合特定条件的数据包解析内容（比如仅HTTP流量），可以添加过滤规则：

tshark -r input.pcap -V -Y "http" > http_traffic.txt

• -Y "http"：使用显示过滤器筛选出HTTP协议的数据包，支持所有Wireshark图形界面中的过滤语法

3. 导出指定字段（对应图形界面“导出特定字段”） #

如果只需要提取数据包中的特定字段（比如源IP、目的IP、协议类型），可以使用字段导出模式：

tshark -r input.pcap -T fields -e ip.src -e ip.dst -e frame.protocols > selected_fields.txt

• -T fields：指定输出模式为字段提取模式
• -e 字段名：添加需要导出的字段，可重复使用该参数添加多个字段（字段名可在Wireshark图形界面中通过右键字段选择“复制字段名”获取）

进阶：自定义字段分隔符 #

如果需要用逗号、制表符等分隔字段方便后续处理，可添加-E参数：

tshark -r input.pcap -T fields -E separator=, -e ip.src -e ip.dst -e frame.protocols > fields_csv.txt

• -E separator=,：指定字段之间用逗号分隔，也可设置为\t表示制表符

内容的提问来源于stack exchange，提问作者Zahier Arbaai