自由轉載 ^_^ 同時請注明原文出處：http://www.cnblogs.com/wangvsa/archive/2012/07/19/2600013.html
上一篇簡單介紹了幾個捕獲數據包的工具，這篇整理一下數據包及日志分析工具。
二、數據包及日志分析工具
很多數據包捕獲工具記錄log采用pcap格式，因此也就有很多工具分析pcap文件。下面簡單
介紹幾個。
1.capinfos - Prints information about capture files
這個工具比較簡潔使用，它能分析所指定的pcap文件（一次可以多個），然后輸出很多信息
（可以自己設置參數決定輸出想要的信息）。capinfos -h 選項可以方便的設置參數。
如下不加任何參數將輸出所有能夠提供的信息：
capinfos out.pcap // 這個out.pcap就是用logger工具記錄的pcap文件
1 wangchen@wangchen-Aspire-4741:~/shell_ex$ capinfos out.pcap 2 File name: out.pcap 3 File type: Wireshark/tcpdump/... - libpcap 4 File encapsulation: Ethernet 5 Packet size limit: file hdr: 84 bytes 6 Packet size limit: inferred: 84 bytes 7 Number of packets: 5279647
8 File size: 413462964 bytes 9 Data size: 31 111541296 bytes 10 Capture duration: 301 seconds 11 Start time: Sat Jul 14 10:21:54 2012
12 End time: Sat Jul 14 10:26:55 2012
13 Data byte rate: 103320871.16 bytes/sec 14 Data bit rate: 826566969.24 bits/sec 15 Average packet size: 5892.73 bytes 16 Average packet rate: 17533.61 packets/sec 17 SHA1: b8248a65614cbeb0cfb7d2ecca697bcdbfd9b9ee 18 RIPEMD160: ac5a2d103d873abfaa3fbbd50ae8abe123cb4755 19 MD5: 69d559f9a6bc9503d5f0d3df2d4382c8 20 Strict time order: False 21 wangchen@wangchen-Aspire-4741:~/shell_ex$
2. wireshark - Interactively dump and analyze network traffic
這個是有圖形界面的，功能強大，簡單易用，界面如下：
3. tcptrace - a TCP connection analysis tool
這個軟件有兩個主要功能，一個是分析pcap文件，找出所有tcp協議包，對所有這些包進行統計得到基於不同ip連接的
信息，然后輸出到一個文本文件中。 其二是，對pcap文件信息圖形化處理。
以下是使用第一個功能，-l選項說明詳細輸出。
tcptrace -l -n out.pcap > out.log
下面是out.log中的一個連接信息(還是很詳細的):
1 TCP connection 1: 2 host a: 10.10.10.48:38906
3 host b: 10.10.10.49:16797
4 complete conn: no (SYNs: 0) (FINs: 0) 5 first packet: Sat Jul 14 10:28:05.624726 2012
6 last packet: Sat Jul 14 10:29:05.520813 2012
7 elapsed time: 0:00:59.896087
8 total packets: 443268
9 filename: out_1.pcap 10 a->b: b->a: 11 total packets: 396623 total packets: 46645
12 ack pkts sent: 396623 ack pkts sent: 46645
13 pure acks sent: 394695 pure acks sent: 826
14 sack pkts sent: 0 sack pkts sent: 0
15 dsack pkts sent: 0 dsack pkts sent: 0
16 max sack blks/ack: 0 max sack blks/ack: 0
17 unique bytes sent: 2306368 unique bytes sent: 2881050304
18 actual data pkts: 1928 actual data pkts: 45819
19 actual data bytes: 2306368 actual data bytes: 2881050304
20 rexmt data pkts: 0 rexmt data pkts: 0
21 rexmt data bytes: 0 rexmt data bytes: 0
22 zwnd probe pkts: 0 zwnd probe pkts: 0
23 zwnd probe bytes: 0 zwnd probe bytes: 0
24 outoforder pkts: 0 outoforder pkts: 0
25 pushed data pkts: 419 pushed data pkts: 30106
26 SYN/FIN pkts sent: 0/0 SYN/FIN pkts sent: 0/0
27 urgent data pkts: 0 pkts urgent data pkts: 0 pkts 28 urgent data bytes: 0 bytes urgent data bytes: 0 bytes 29 mss requested: 0 bytes mss requested: 0 bytes 30 max segm size: 1460 bytes max segm size: 64240 bytes 31 min segm size: 4 bytes min segm size: 32 bytes 32 avg segm size: 1196 bytes avg segm size: 62878 bytes 33 max win adv: 382 bytes max win adv: 382 bytes 34 min win adv: 354 bytes min win adv: 365 bytes 35 zero win adv: 0 times zero win adv: 0 times 36 avg win adv: 381 bytes avg win adv: 381 bytes 37 initial window: 0 bytes initial window: 0 bytes 38 initial window: 0 pkts initial window: 0 pkts 39 ttl stream length: NA ttl stream length: NA 40 missed data: NA missed data: NA 41 truncated data: 2248606 bytes truncated data: 2879675734 bytes 42 truncated packets: 1925 pkts truncated packets: 45819 pkts 43 data xmit time: 59.693 secs data xmit time: 59.895 secs 44 idletime max: 217.1 ms idletime max: 215.4 ms 45 throughput: 38506 Bps throughput: 48100810 Bps 46 ================================
4.tcpstat — report network interface statistics
這個工具即可以實時檢測網絡，也可以讀取pcap文件然后產生想要的數據。而且還可以配合gnuplot使用
進行可視化（沒有需求也就沒試過~.~）。在官網上有如何可視化，點這。
可視化效果如下（官網的圖）：
還有很多是我沒有使用過的，在tcpdump的網站里就介紹了很多相關軟件，大家可以看一下，點這。