cincan/tshark

TShark Docker镜像文档

镜像概述

TShark是Wireshark的终端版本，专为在不需要或无法使用交互用户界面时捕获和显示网络数据包而设计。它支持与Wireshark相同的选项，由Gerald Combs于1997年启动，经过社区贡献者的持续开发，已成为支持数百种协议和媒体格式的多功能工具，被网络管理员、开发人员、安全研究人员等广泛使用。

核心功能和特性

• 输入支持：PCAP文件、实时网络流量
• 输出格式：tshark报告、JSON、XML
• 终端导向：无需图形界面，适合命令行环境和自动化场景
• 协议支持：兼容Wireshark的协议解析能力，支持数百种网络协议
• 权限控制：可通过Docker功能权限配置实现网络流量捕获

使用场景和适用范围

• 网络流量实时捕获与分析
• PCAP文件离线解析与报告生成
• 无图形界面环境（如服务器、嵌入式系统）中的网络数据包分析
• 网络故障排查、协议调试和安全审计
• 自动化脚本集成，用于批量处理PCAP文件

支持的标签

• latest (https://gitlab.com/CinCan/tools/blob/master/tshark/Dockerfile)

使用方法

获取帮助

通过cincan工具获取命令行帮助：

bash
cincan run cincan/tshark --help

或直接使用Docker：

bash
docker run --rm docker.xuanyuan.run/cincan/tshark --help

分析PCAP文件

使用cincan工具分析PCAP文件：

bash
cincan run cincan/tshark -r <PCAP-FILE>

或直接使用Docker（需挂载包含PCAP文件的目录，示例中<SAMPLES>为本地绝对路径，如/home/myname/mysamples）：

bash
docker run --rm -v <SAMPLES>:/samples docker.xuanyuan.run/cincan/tshark -r /samples/<PCAP-FILE>

捕获主机流量

通过cincan工具从指定网络接口（<INTERFACE>）捕获主机流量并保存为PCAP文件：

bash
cincan run --cap-add NET_RAW --cap-add NET_ADMIN --network host cincan/tshark -i <INTERFACE> -w - > traffic.pcap

或直接使用Docker（命令与上述相同，将cincan替换为docker）：

bash
docker run --rm --cap-add NET_RAW --cap-add NET_ADMIN --network host docker.xuanyuan.run/cincan/tshark -i <INTERFACE> -w - > traffic.pcap

项目主页

https://github.com/wireshark/wireshark