tshark中根据起始时间裁剪pcap文件的命令

在Wireshark的命令行工具tshark中，如果你想根据特定的起始时间裁剪PCAP文件，你可以使用`-T fields`选项结合`-Y expression`选项来筛选出指定时间范围内的数据包。假设你想从第5分钟开始到第10分钟截取，你可以这样做：

tshark -r your pcap file.pcap -T fields -Y "time > now - 5m && time < now" -w cropped_file.pcap

这里解释一下各个参数的意思：
- `-r your pcap file.pcap`: 指定你要分析的原始PCAP文件路径。
- `-T fields`: 选择字段模式，显示数据包的特定字段而不是完整的协议解析。
- `-Y "time > now - 5m && time < now"`: 这是一个过滤条件，`time > now - 5m`表示时间大于当前时间减去5分钟，`time < now`表示时间小于当前时间，结合起来就是从5分钟前到现在这段时间的数据包。
- `-w cropped_file.pcap`: 将筛选后的结果保存到新的PCAP文件cropped_file.pcap。