tcpdump是否支持按时间戳过滤？及特定时段数据包筛选问询

嘿，这个需求我之前刚好折腾过！tcpdump本身就支持基于时间戳的过滤规则，用法还挺灵活的，我给你拆解几种实用的方法：

tcpdump的过滤表达式里可以直接用time关键字配合时间字符串来筛选，格式支持常见的YYYY-MM-DD HH:MM:SS，比如你要提取2024年5月20日8点到12点的数据包，命令可以这么写：

tcpdump -r your_capture.pcap 'time ge "2024-05-20 08:00:00" and time le "2024-05-20 12:00:00"'

这里ge是“大于等于”，le是“小于等于”，你可以根据需求换成gt（大于）或者lt（小于）。

如果担心时区问题（比如数据包用的是UTC时间，而你的系统是本地时区），更稳妥的方式是用Unix时间戳来过滤。先随便看几个数据包的时间戳确认：

tcpdump -r your_capture.pcap -ttn | head -5

输出里的第一个数字就是Unix时间戳，比如1716182400对应2024-05-20 08:00:00，然后直接用时间戳过滤：

tcpdump -r your_capture.pcap 'time ge 1716182400 and time le 1716196800'

这种方式完全没有时区歧义，准确率最高。

如果不知道精确的绝对时间，只想提取捕获开始后第1小时到第3小时的数据包，可以用relative关键字，它代表从捕获开始到当前数据包的秒数：

tcpdump -r your_capture.pcap 'relative ge 3600 and relative le 10800'

这里3600是1小时（60*60），10800是3小时，对应捕获后1-3小时的数据包。

如果tcpdump的时间格式限制让你头疼，试试Wireshark的命令行工具tshark，它的时间过滤语法更直观，还支持更多格式和时区设置：

tshark -r your_capture.pcap -Y "frame.time >= \"2024-05-20 08:00:00\" && frame.time <= \"2024-05-20 12:00:00\""

如果数据包是UTC时间，加上时区参数统一解析：

tshark -r your_capture.pcap -o "gui.time_format:UTC" -Y "frame.time >= \"2024-05-20 00:00:00\" && frame.time <= \"2024-05-20 04:00:00\""

如果需要把筛选出的数据包保存成新的pcap文件，只需要在命令末尾加上-w filtered_result.pcap即可，比如：

tcpdump -r your_capture.pcap 'time ge 1716182400 and time le 1716196800' -w filtered_result.pcap

内容的提问来源于stack exchange，提问作者kasperd