tshark如何读取源raw数据

tshark是Wireshark套件中的命令行网络分析工具，用于抓取和解析网络包（packet）数据。如果你想直接读取原始的二进制数据（即源raw数据），可以按照以下步骤操作：

1. **启动抓包**：
打开终端，定位到包含pcap文件或网络接口的地方，然后运行`tshark`命令开始捕获数据。例如，如果你想要监听所有网络流量，你可以输入：

   tshark -i any

2. **选择数据字段**：
若要查看原始数据，通常不会直接看到raw数据。你需要指定显示某种类型的原始数据，如TCP头、IP头等。例如，查看TCP头部的原始数据，可以加上选项`-T pdml`，并过滤出包含TCP的数据，命令类似：

   tshark -T pdml -e frame.time -e tcp | grep "tcp"

3. **截取raw数据**：
但上述命令会显示出解封装后的信息，不是纯的原始字节。若想获取完整的原始字节流，需要使用`-T cap`选项将捕获的内容保存成一个新的 pcap 文件，然后用其他工具（如`dumpcap`或`tcpdump`）来查看。命令可能是这样的：

   tshark -i any -w raw.pcap

然后你可以在另一个终端打开这个新生成的 pcap 文件，比如`dumpcap raw.pcap`来查看。