Dumpcap流量统计与分析流程
Dumpcap是Wireshark生态中的命令行数据包捕获工具，其核心功能是高效采集网络流量，但本身统计功能有限。实际分析中，通常需结合Wireshark（图形界面）、tshark（命令行分析工具）或脚本工具（如awk、grep）实现深度统计与分析。
Dumpcap需通过Wireshark套件安装（Windows/macOS可直接下载Wireshark；Linux如Debian/Ubuntu可通过sudo apt install wireshark安装）。由于捕获网络流量需访问底层接口，必须使用管理员权限（Linux下加sudo，Windows下以管理员身份运行命令提示符）。
使用Dumpcap捕获流量时，需通过**捕获过滤器（Capture Filter）**缩小范围，避免无关数据占用资源。常用命令示例：
capture.pcap：dumpcap -i eth0 -w capture.pcap（-i指定接口，如any表示所有接口；-w指定输出文件）；dumpcap -i eth0 -w http_traffic.pcap -f "tcp port 80"（-f指定BPF语法过滤条件）；dumpcap -i eth0 -w capture_%d.pcap -b filesize:100000 -b files:20（-b filesize设置单个文件大小，-b files设置最大文件数）。Dumpcap本身提供两种基础统计方式：
-q（quiet）参数，输出总数据包数、总字节数等简要信息，例如：dumpcap -i eth0 -w capture.pcap -q；-V（verbose）参数，输出每种协议的包数、字节数及占比等细节，例如：dumpcap -i eth0 -w capture.pcap -V。将Dumpcap捕获的.pcap/.pcapng文件导入Wireshark（File→Open），通过以下功能实现深度分析：
Statistics，可选择Conversations（会话统计，查看IP/端口间的流量分布）、IO Graphs（流量趋势图，分析带宽变化）、Protocol Hierarchy（协议分层，查看各协议占比）等；http.response.code == 404筛选404响应、ip.addr == 192.168.1.100筛选特定IP流量），聚焦目标流量；Details面板可展开协议层次结构，查看源/目的MAC、IP、端口、载荷等内容。tshark是Wireshark的命令行版本，适合批量处理或脚本集成。常用命令示例：
tshark -r capture.pcap -Y "http" -c（-r读取捕获文件，-Y应用显示过滤器，-c显示匹配包数）；tshark -r capture.pcap -T fields -e frame.number -e ip.src -e ip.dst -e tcp.port -e udp.port -E separator=, -E header=y > stats.csv（-T fields指定输出字段，-E设置分隔符和表头）；dumpcap -i any -w - | watch -n 1 "tshark -r - -qz io,stat,0"（dumpcap实时输出到管道，watch每秒调用tshark统计）。结合awk、grep等工具，可实现简单定制化统计：
dumpcap -r capture.pcap | awk '{print $3}' | sort | uniq -c | sort -nr（awk提取源IP字段，sort|uniq -c统计频次，sort -nr降序排列）；dumpcap -r capture.pcap | sed -n 's/.*\.\([0-9]*\)\..*/\1/p' | sort | uniq -c | sort -nr（sed提取端口号，统计高频端口）。通过上述工具分析时，可重点关注以下异常特征：
/admin.php、/wp-login.php的频繁访问）、大量加密流量（无法解析内容）。-b参数），避免磁盘空间耗尽。
