如何在Wireshark 2.4.6便携版中使用SSH远程抓包？

刚好之前折腾过Wireshark便携版的远程抓包，给你捋清楚怎么填命令行参数！

你不用直接写文档里那个复杂的Unix管道命令，Wireshark自带的sshdump工具已经封装了这些逻辑，只需要填对应的参数就能实现远程抓包。

核心命令行格式 #

在远程抓包的命令行输入框里，用这个格式就行：

sshdump -i <远程网卡名> -u <远程用户名> -H <远程主机地址> -p <远程SSH端口> -w -

关键参数解释 #

• -i <远程网卡名>：替换成你要抓包的远程机器网卡名称，比如eth0、ens33或者wlan0。要是不知道远程主机有哪些网卡，先SSH登录过去执行tcpdump -D就能看到所有可用接口
• -u <远程用户名>：远程机器的SSH登录账号，比如root或者你的普通用户账号
• -H <远程主机地址>：远程机器的IP地址或者可直接解析的域名
• -p <远程SSH端口>：如果远程主机的SSH端口不是默认的22，就填这里（比如你提到的22222）；要是用默认22端口，这个参数可以省略
• -w -：这个是固定写法，作用是让远程的tcpdump把抓包数据输出到标准输出，这样Wireshark就能直接读取到实时抓包内容

实际配置例子 #

举个具体场景：假设远程主机IP是192.168.3.10，登录用户是testuser，SSH端口是22222，要抓的网卡是eth0，那命令行就填：

sshdump -i eth0 -u testuser -H 192.168.3.10 -p 22222 -w -

额外提示 #

• 建议给本地机器和远程主机配置SSH密钥对登录，这样抓包时不用反复输密码，便携版的Wireshark也能更顺畅地建立连接
• 远程主机必须已经安装了tcpdump工具，不然会提示抓包失败，提前在远程主机上用包管理器装好就行
• 要是找不到sshdump工具，检查一下便携版Wireshark的extcap目录，这个工具默认会放在那里

内容的提问来源于stack exchange，提问作者MiniMe