termshark, une interface de terminal pour tshark, inspirée de Wireshark

Qu'est-ce que termshark ?

Si vous débuggez sur une machine distante avec un pcap énorme, et que vous ne désirez pas transférer le pcap sur votre station de travail, termshark peut vous aider !

Caractéristiques

Lit le fichier pcap ou écoute passivement les interfaces réseaux (si tshark a les permissions).
Filtre les pcaps ou la capture de live en utilisant les filtres d'affichage de Wireshark
Réassemble et inspecte les flux TCP et UDP
Voir les conversations réseaux classées par protocoles
Copie des plages de paquets dans le presse-papier à partir du terminal
Écrit en Go, compilé en un seul exécutable sur chaque plateforme - des téléchargements sont disponibles pour Linux, macOS, FreeBSD, Android (termux) et Windows

tshark a beaucoup plus de fonctionnalités que termshark n'exploite pas encore ! Voir "Prochainement"

Paquets d'installation

Termshark est pré-packagé sur les plateformes suivantes : Arch Linux, Debian (unstable), FreeBSD, Homebrew, Kali Linux, NixOS, SnapCraft, Termux (Android) et Ubuntu.

Compilation

Termshark utilise les modules Go, donc le mieux est de compiler avec Go 1.11 ou supérieur. Mettre GO111MODULE=on et lancer :
go get github.com/gcla/termshark/cmd/termshark

Puis, ajouter ~/go/bin/ à votre PATH.

Pour l'analyse de tous les paquets, termshark depend de tshark du projet Wireshark. Vérifiez que tshark est bien dans votre PATH.

Prise en main rapide

Inspecter un fichier pcap local:
termshark -r test.pcap

Capturer les paquets ping sur l'interface eth0:
termshark -i eth0 icmp

Utilisez termshark -h pour connaître toutes les options.

Téléchargement

Les exécutables pré-compilés sont disponibles via les releases Github. Ou téléchargez la dernière build de la banche master.

Guide d'utilisation

Voir le guide utilisateur de termshark (et mes meilleures réponses dans la FAQ)

Dépendances

Termshark dépend de ces packages :

tshark - analyseur de protocoles réseaux en ligne de commande, produit du projet Wireshark
tcell - un paquet de traitement de terminal basé sur les cellules, inspiré par termbox
gowid - widgets d’interface utilisateur de composition, inspirés par urwid, basé sur tcell

Notez que tshark est une dépendance à l'exécution, et doit être dans votre PATH pour que termshark puisse fonctionner. La version 1.10.2 ou supérieure est requise (année 2013 approximativement).