So exportieren Sie nur bedruckbare Text (oder eine andere Paketeigenschaft) in Wireshark

Question

Kurz gesagt, ich erfasse SQLs vom Anbieter -Tool bis zur Oracle -Datenbank mit Wireshark. Es hat bereits Decoder für das TNS -Protokoll (was großartig ist) und ich kann auf Text von SQL zugreifen

Right Click->Copy->Bytes(Printable Text Only). 

Das Problem ist, dass es unzählige Pakete gibt und es mit der rechten Maustaste auf jeden von ihnen ewig dauern kann. Ich habe mich gefragt, ob es eine Möglichkeit gibt, "druckbare Text nur" von Wireshark zu exportieren. Idealerweise möchte ich eine Textdatei mit Anweisungen haben.

Jede Hilfe wird sehr geschätzt.

Answer 1

Ich weiß nicht, wie man es mit TNs macht. Aber Sie können so etwas mit TSHARK tun, um sich beispielsweise HTTP -Anfragen anzusehen.

tshark -T fields -e http.request.uri

Wenn Sie sich also die Optionen im TNS -Decoder ansehen können, sollten Sie in der Lage sein, dieses Feld zu greifen und die Ausgabe in eine Datei umzuleiten.

Answer 2

Endlich gefunden, um dies zu tun. Verwenden Sie zunächst TSHARK, TNS -Pakete aufzunehmen:

tshark -R tcp.port==1521 -T fields -e data.data -d tcp.port==1521,tns > input.txt

Dann können Sie unten das Home Brew Ruby -Skript verwenden, um von Bytes zu Text zu verwandeln:

file = ARGV[0]
print_all = ARGV[1]

File.open(file, "r").each {|line|
  line.gsub(",", ":").split(':').each {|byte|
    chr = Integer('0x' + byte).chr
    print chr if ((' '..'~').include?(chr) or chr == "\n") or (print_all.downcase == 'all' if print_all)
  } if !line.chomp.empty?
}

Beispiele sind:

encode.rb input.txt > output.txt

exportiert druckbare Text nur von der Eingabe bis zur Ausgabe

encode.rb input.txt  all > output.txt

exportiert den gesamten Text von der Eingabe in die Ausgabe

Answer 3

Eine einfache Möglichkeit, sie alles anzusehen, was für mich funktioniert hat Right Click -> Follow TCP Stream.

Ein Hinweis: Unprintbare Zeichen werden als angezeigt .s. Wenn sich zwischen dem Text, den Sie extrahieren möchten (wie es für mich war), eingeschaltet ist, schalten Sie ihn auf den gesamten Text ASCII, Speichern Sie es und öffnen Sie es in Ihrem bevorzugten Texteditor (VIM für mich), führen Sie eine Suche aus und ersetzen Sie ähnlich wie /\.//g.