将 frame.time 转换为纪元

Question

使用以下命令需要进行哪些修改才能在 tshark 中获得 frame.time 作为纪元？

tshark -T fields -n -r btle.pcap -E separator=, -e frame.time -e btle_rf.access_address_offenses -e btle_rf.channel -e btle_rf.flags -e btle_rf.flags.access_address_offenses_valid -e btle_rf.flags.channel_aliased -e btle_rf.flags.crc_checked -e btle_rf.flags.crc_valid -e btle_rf.flags.decrypted -e btle_rf.flags.dewhitened -e btle_rf.flags.mic_checked -e btle_rf.flags.mic_valid -e btle_rf.flags.noise_dbm_valid -e btle_rf.flags.reference_access_address_valid -e btle_rf.flags.rfu.1 -e btle_rf.flags.rfu.2 -e btle_rf.flags.signal_dbm_valid -e btle_rf.noise_dbm -e btle_rf.reference_access_address -e btle_rf.signal_dbm -e btle_rf.signed_byte_unused -e btle_rf.unsigned_byte_unused -e btle_rf.word_unused>btle.csv

Answer 1

只要你是运行Wireshark 1.4.0以上版本的，都可以尝试把-e frame.time改成-e frame.time_epoch。如果您运行是旧版本的 Wireshark，那么我可能会建议您升级到较新的版本。

使用 Wireshark 的最新稳定版本（撰写本文时为 2.2.7），所有帧过滤器都记录在 View -> Internals -> Supported Protocols -> Frame -> ...，您也可以随时参考在线 Display Filter Reference 页面。

将 frame.time 转换为纪元

Converting frame.time to epoch

tshark