Wireshark

Son düzenleme: r01

17.11.2025

Wireshark'ı komut satırından başlatın

Wireshark'ı komut satırından başlatabilirsiniz, ancak çoğu Pencere yöneticisinden de başlatılabilir. Bu bölümde, komut satırından başlatmayı inceleyeceğiz. Wireshark çok sayıda komut satırı parametresini destekler. Parametrelerin neler olduğunu görmek için wireshark -h komutunu girmeniz yeterlidir; Wireshark'tan edinilebilen Yardım bilgileri (veya benzeri bir şey) bölümünde gösterilen yardım bilgileri yazdırılacaktır.

Wireshark'tan yardım bilgileri alabilirsiniz.

Wireshark 4.5.0 (v4.5.0rc0-1896-g8ec46c963ceb)

Interactively dump and analyze network traffic.

See https://www.wireshark.org for more information.

➡️Alfabetik sırayla komut açıklamalarına gitmek için tıklayınız.

Usage: wireshark [options] ... [ <infile> ]

Capture interface:

-i <interface>, --interface <interface>

name or idx of interface (def: first non-loopback)

-f <capture filter>

packet filter in libpcap filter syntax

-s <snaplen>, --snapshot-length <snaplen> packet snapshot length (def: appropriate maximum)

-p, --no-promiscuous-mode

don't capture in promiscuous mode

-I, --monitor-mode

capture in monitor mode, if available

-B <buffer size>, --buffer-size <buffer size>

size of kernel buffer in MiB (def: 2MiB)

-y <link type>, --linktype <link type>

link layer type (def: first appropriate)

--time-stamp-type <type>

timestamp method for interface

-D, --list-interfaces

print list of interfaces and exit

-L, --list-data-link-types

print list of link-layer types of iface and exit

--list-time-stamp-types

print list of timestamp types for iface and exit

Capture display:

-k

start capturing immediately (def: do nothing)

-S

update display when new items are captured

-l

turn on automatic scrolling while -S is in use

--update-interval

interval between updates with new items, in milliseconds (def: 100ms)

Capture stop conditions:

-c <item count>

stop after n items (def: infinite)

-a <autostop cond.> ..., --autostop <autostop cond.> ...

duration:NUM - stop after NUM seconds

filesize:NUM - stop this file after NUM KB

files:NUM - stop after NUM files

packets:NUM - stop after NUM packets

Capture output:

-b <ringbuffer opt.> ..., --ring-buffer <ringbuffer opt.>

filesize:NUM - switch to next file after NUM KB

files:NUM - ringbuffer: replace after NUM files

packets:NUM - switch to next file after NUM packets

interval:NUM - switch to next file when the time is an exact multiple of NUM secs

Input file:

-r <infile>, --read-file <infile>

set the filename to read from (no pipes or stdin!)

Processing:

-R <read filter>, --read-filter <read filter>

filter in display filter (wireshark-filter(4)) syntax

-n

disable all name resolutions (def: all enabled)

-N <name resolve flags>

enable specific name resolution(s): "mtndsNvg"

-d <layer_type>==<selector>,<decode_as_protocol> ...

"Decode As", see the man page for details

Example: tcp.port==8888,http

--enable-protocol <proto_name>

enable dissection of proto_name

--disable-protocol <proto_name>

disable dissection of proto_name

--enable-heuristic <short_name>

enable dissection of heuristic protocol

--disable-heuristic <short_name>

disable dissection of heuristic protocol

User interface:

-C <config profile>

start with specified configuration profile

-H

hide the capture info dialog during capture

-Y <display filter>, --display-filter <display filter>

start with the given display filter

-g <item number>

go to specified item number after "-r"

-J <jump filter>

jump to the first item matching the display filter

-j

search backwards for a matching item after "-J"

-t (a|ad|adoy|d|dd|e|r|u|ud|udoy)[.[N]]|.[N]

format of time stamps (def: r: rel. to first)

-u s|hms

output format of seconds (def: s: seconds)

-X <key>:<value>

eXtension options, see man page for details

-z <statistics>

show various statistics, see man page for details

Output:

-w <outfile|->

set the output filename (or '-' for stdout)

-F <capture type>

set the output file type; default is pcapng.

an empty "-F" option will list the file types.

--capture-comment <comment>

add a capture file comment, if supported

--temp-dir <directory>

write temporary files to this directory

(default: /tmp)

Diagnostic output:

--log-level <level>

sets the active log level ("critical", "warning", etc.)

--log-fatal <level>

sets level to abort the program ("critical" or "warning")

--log-domains <[!]list>

comma-separated list of the active log domains

--log-fatal-domains <list>

list of domains that cause the program to abort

--log-debug <[!]list>

list of domains with "debug" level

--log-noisy <[!]list>

list of domains with "noisy" level

--log-file <path>

file to output messages to (in addition to stderr)

Miscellaneous:

-h, --help

display this help and exit

-v, --version

display version info and exit

-P <key>:<path>

persconf:path - personal configuration files

persdata:path - personal data files

-o <name>:<value> ...

override preference or recent setting

-K <keytab>

keytab file to use for kerberos decryption

--display <X display>

X display to use

--fullscreen

start Wireshark in full screen

➡️

Komut satırı seçeneklerinin her birini sırayla inceleyeceğiz.

Dikkat etmeniz gereken ilk şey, "wireshark" komutunu tek başına vermenin Wireshark'ı başlatacağıdır. Ancak, istediğiniz kadar komut satırı parametresi ekleyebilirsiniz.

Anlamları aşağıdaki gibidir (alfabetik sırayla):

-a <capture autostop condition>, --autostop <capture autostop condition>

Wireshark'ın bir yakalama dosyasına yazmayı ne zaman durduracağını belirten bir ölçüt belirtin. Ölçüt, test:value biçimindedir ve burada test şunlardan biridir:

duration:value

Saniye değeri geçtikten sonra yakalama dosyasına yazmayı durdur.

filesize:value

Bir yakalama dosyası kilobayt değerine ulaştığında (kilobayt 1024 bayt değil, 1000 bayttır) yazmayı durdurur. Bu seçenek -b seçeneğiyle birlikte kullanılırsa, Wireshark geçerli yakalama dosyasına yazmayı durdurur ve dosya boyutuna ulaşıldığında bir sonrakine geçer.

files:value

Dosya sayısı yazıldıktan sonra dosyaları yakalamak için yazmayı durdurun

packets:value

Paketlerin değer sayısı yazıldıktan sonra yakalama dosyasına yazmayı durdur.

-b <capture ring buffer option>

Maksimum yakalama dosyası boyutu belirtilmişse, bu seçenek Wireshark'ın belirtilen sayıda dosyayla "ring buffer" modunda çalışmasını sağlar. "Ring Buffer" modunda, Wireshark birkaç yakalama dosyasına yazar. Bu dosyaların adları, dosya numarasına ve oluşturulma tarih ve saatine bağlıdır.

İlk yakalama dosyası dolduğunda, Wireshark bir sonraki dosyaya yazmaya geçer ve bu böyle devam eder. Dosyalar seçeneğiyle bir "ring buffer" oluşturmak da mümkündür. Bu, belirtilen dosya sayısına kadar yeni dosyaları doldurur ve bu noktada ilk dosyadaki veriler silinerek yeni bir dosya yazılabilir.

İsteğe bağlı süre belirtilirse, Wireshark, geçerli dosya tamamen dolmasa bile belirtilen saniye sayısı dolduğunda bir sonraki dosyaya geçer.

duration:value

Mevcut dosya tamamen dolmasa bile, değer saniyeleri geçtikten sonra bir sonraki dosyaya geç.

filesize:value

Kilobayt değerine ulaştığında bir sonraki dosyaya geç (kilobayt 1000 bayttır, 1024 bayt değil).

files:value

Dosya sayısı yazıldıktan sonraki ilk dosyadan tekrar başla (form a ring buffer).

packets:value

Mevcut dosya tamamen dolmasa bile, paket sayısı kadar değer yazıldıktan sonra bir sonraki dosyaya geçilir.

interval:value

Zaman saniye değerinin tam katı olduğunda bir sonraki dosyaya geç.

-B <capture buffer size>, --buffer-size <capture buffer size>

Yakalama arabellek boyutunu ayarlayın (MB cinsinden, varsayılan değer 2 MB'dir). Bu, yakalama sürücüsü tarafından paket verilerini diske yazılabilene kadar arabelleğe almak için kullanılır. Yakalama sırasında paket düşmesiyle karşılaşırsanız, bu boyutu artırmayı deneyin. Bazı platformlarda desteklenmez.

-C <config profile>

Belirtilen yapılandırma profiliyle başlayın.

-c <capture packet count>

Bu seçenek, canlı veri yakalarken yakalanacak maksimum paket sayısını belirtir. -k seçeneğiyle birlikte kullanılır.

--capture-comment <comment>

Dosya biçimi tarafından destekleniyorsa, yorum dizesini yakalama dosyasına ekleyin.

-d layer_type>==<selector>,<decode_as_dissector>

"decode as": Belirli durumlarda hangi protokolün çağrılacağını geçersiz kılar.

An example of causing TCP traffic on port 8888 to be decoded as HTTP:

wireshark -d tcp.port==8888,http

<layer_type> için tüm olası değerleri görmek için Wireshark veya tshark'ı -d yardımıyla çalıştırın. tshark -G dissectors komutunu çalıştırarak <decode_as_dissectors> için tüm olası değerleri görebilirsiniz, ancak tüm dissector'ların tüm katmanlarda kullanılamayacağını unutmayın.

-D, --list-interfaces

Wireshark'ın yakalayabileceği arayüzlerin bir listesini yazdırın ve ardından çıkın. Her ağ arayüzü için, bir numara ve muhtemelen arayüzün metin açıklamasıyla birlikte bir arayüz adı yazdırılır. Yakalanacak arayüzü belirtmek için -i bayrağına arayüz adı veya numarası girilebilir.
Bu, listeleme komutu olmayan sistemlerde (örneğin, ifconfig -a komutu olmayan Windows sistemleri veya UNIX sistemleri) faydalı olabilir. Bu numara, arayüz adının bir GUID olduğu Windows'ta özellikle faydalı olabilir.
"can capture" ifadesinin, Wireshark'ın canlı yakalama yapmak için o cihazı açabildiği anlamına geldiğini unutmayın. Sisteminizde ağ yakalaması yapan bir programın özel ayrıcalıklara sahip bir hesaptan çalıştırılması gerekiyorsa, Wireshark -D bayrağıyla çalıştırılırsa ve böyle bir hesaptan çalıştırılmazsa, hiçbir arayüzü listelemeyecektir.

--display <DISPLAY>

Ortamda tanımlanan veya varsayılan ekran yerine kullanılacak X ekranını ayarlayın.

--enable-protocol <proto_name>, --disable-protocol <proto_name>

Protokolün parçalanmasını etkinleştirin ve devre dışı bırakın.

--enable-heuristic <short_name>, --disable-heuristic <short_name>

Sezgisel (heuristic) protokolün parçalanmasını etkinleştirin ve devre dışı bırakın.

-f <capture filter>

Bu seçenek, paketleri yakalarken kullanılacak ilk yakalama filtresi ifadesini ayarlar.

--fullscreen

Wireshark'ı tam ekran olarak başlatın.

-g <packet number>

-r bayrağını kullanarak bir yakalama dosyasını okuduktan sonra, verilen paket numarasına gidin.

-h, --help

Bu seçenek Wireshark'ın kendi sürümünü ve kullanım talimatlarını (burada gösterildiği gibi) yazdırmasını ve çıkmasını ister.

-H

Canlı paket yakalama sırasında yakalama bilgisi iletişim kutusunu gizle.

-i <capture interface>, --interface <capture interface>

Ağ arayüzü adları, wireshark -D komutunda (yukarıda açıklanmıştır) listelenen adlardan biriyle eşleşmelidir. wireshark -D komutuyla bildirilen bir sayı da kullanılabilir. UNIX kullanıyorsanız, netstat -i, ifconfig -a veya ip link komutları da arayüz adlarını listelemek için kullanılabilir; ancak UNIX'in tüm sürümleri ifconfig için -a işaretini desteklemez.
Hiçbir arayüz belirtilmemişse, Wireshark arayüz listesinde arama yapar ve herhangi bir geri döngü olmayan arayüz varsa ilk geri döngü olmayan arayüzü, geri döngü olmayan arayüz yoksa ilk geri döngü arayüzünü seçer; arayüz yoksa, Wireshark bir hata bildirir ve yakalamayı başlatmaz.
Kanal adları, standart girdiden veri okumak için bir FIFO (adlandırılmış kanal) adı veya "-" olmalıdır. Kanallardan okunan veriler standart libpcap biçiminde olmalıdır.

-J <jump filter>

-r bayrağını kullanarak bir yakalama dosyasını okuduktan sonra, filtre ifadesiyle eşleşen ilk pakete atlayın. Filtre ifadesi, görüntüleme filtresi biçimindedir. Tam bir eşleşme bulunamazsa, sonraki ilk paket seçilir.

-I, --monitor-mode

Mümkünse izleme modunda kablosuz paketleri yakalayın.

-j

-J seçeneğinden sonra geriye doğru gidilecek ilk paketi aramak için bu seçeneği kullanın.

-k

-k seçeneği, Wireshark'ın paketleri hemen yakalamaya başlamasını belirtir. Bu seçenek, paket yakalamanın hangi arayüzden gerçekleşeceğini belirtmek için -i parametresinin kullanılmasını gerektirir.

-K <keytab file>

Kerberos şifre çözme için belirtilen dosyayı kullanın.

-l

Bu seçenek, yakalama sırasında paketler geldiğinde paket listesi bölmesinin otomatik olarak güncellenmesi durumunda (-S bayrağıyla belirtildiği gibi) otomatik kaydırmayı açar.

-L, --list-data-link-types

Arayüz tarafından desteklenen veri bağlantı türlerini listeleyin ve çıkın.

--list-time-stamp-types

Arayüz ve çıkış için yapılandırılabilir zaman damgası türlerini listele.

-m <font>

Bu seçenek, Wireshark tarafından görüntülenen çoğu metin için kullanılan yazı tipinin adını ayarlar.

-n

Ağ nesnesi adı çözümlemesini (ana bilgisayar adı, TCP ve UDP bağlantı noktası adları gibi) devre dışı bırakın.

-N <name resolving flags>

Belirli adres türleri ve bağlantı noktası numaraları için ad çözümlemeyi etkinleştirir. Bağımsız değişken, aşağıdaki harfleri içerebilen bir dizedir:

Use external name resolver.

Enable name resolution from captured DNS packets.

Enable MAC address resolution.

Enable network address resolution.

Enable transport layer port number resolution.

Enable VLAN ID resolution.

-o <preference or recent settings>

Bir tercihi veya son değeri ayarlar, varsayılan değeri ve bir tercih veya son dosyadan okunan herhangi bir değeri geçersiz kılar. Bayrağın argümanı, ön ad:değer biçiminde bir dizedir; burada ön ad, tercihin adıdır (tercihler veya son dosyada görünecek adla aynıdır) ve değer, ayarlanması gereken değerdir. Tek bir komut satırında birden fazla `-o <tercih ayarları> ` (-o <preference settings>) komutu verilebilir.

📝 Tercihler ve Profiller (prereferences and profiles)
Komut satırında belirttiğiniz tercihler, profillerinizden herhangi birinde değiştirdiğiniz tüm ayarları geçersiz kılar; bu, bir profilden diğerine geçişi de içerir.
Tercihler (Prereference) iletişim kutusunu kullanarak komut satırında da ayarladığınız bir ayarı değiştirirseniz, komut satırı seçeneği yok sayılır ve profil değiştirdiğinizde ayar normal şekilde değişir.

Tek bir tercih belirlemenin bir örneği şöyle olabilir:

wireshark -o mgcp.display_dissect_tree:TRUE

Birden fazla tercihi ayarlamaya bir örnek şöyle olabilir:

wireshark -o mgcp.display_dissect_tree:TRUE -o mgcp.udp.callagent_port:2627

Kullanıcı Erişimli Tablolar [User Accessible Tables](UAT'ler), "uat:" ifadesinin ardından UAT dosya adı (tercih adı değil) ve dosya için geçerli bir kayıt kullanılarak geçersiz kılınabilir:

wireshark -o "uat:user_dlts:\"User 0 (DLT=147)\",\"http\",\"0\",\"\",\"0\",\"\""

Yukarıdaki örnek, DLT_USER protokol tercihlerinde yapılandırdığınız gibi, libpcap veri bağlantı türü 147 olan paketleri HTTP olarak parçalara ayıracaktır.

📝 UAT girişlerini yalnızca komut satırından ekleyebilirsiniz. Bu şekilde UAT'deki mevcut girişleri değiştiremez veya kaldıramazsınız.

-p, --no-promiscuous-mode

Arayüzü rastgele (promiscuous) moda geçirmeyin. Arayüzün başka bir nedenle rastgele modda olabileceğini unutmayın. Bu nedenle, -p, yakalanan tek trafiğin Wireshark'ın çalıştığı makineye gönderilen veya bu makineden gönderilen trafik, yayın trafiği ve bu makine tarafından alınan adreslere çok noktaya yayın trafiği olmasını sağlamak için kullanılamaz.

-P <path setting>

Özel yol ayarları genellikle otomatik olarak algılanır. Bu, örneğin Wireshark'ı USB bellekteki bilinen bir konumdan başlatmak gibi özel durumlar için kullanılır.

Kriter anahtar:yol biçimindedir, burada anahtar şunlardan biridir:

persconf:path

Tercih (preference) dosyaları gibi kişisel yapılandırma dosyalarının yolu.

persdata:path

Kişisel veri dosyalarının yolu, başlangıçta açılan klasördür. Başlatma işleminden sonra, son kullanılan dosya en son kullanılan klasörü saklayacaktır.

-r <infile>, --read-file <infile>

Bu seçenek, Wireshark'ın okuyup görüntüleyeceği bir yakalama dosyasının adını sağlar. Bu yakalama dosyası, Wireshark'ın anladığı biçimlerden birinde olabilir.

-R <read (display) filter>, --read-filter <read (display) filter>

Bu seçenek, bir yakalama dosyasından paketler okunurken uygulanacak bir görüntüleme filtresini belirtir.

-s <capture snapshot length>, --snapshot-length <capture snapshot length>

Bu seçenek, paketleri yakalarken kullanılacak anlık görüntü uzunluğunu belirtir. Wireshark, her paket için yalnızca anlık görüntü baytı (snaplen) verisini yakalar.

-S

Bu seçenek, Wireshark'ın paketleri yakaladığı anda görüntüleyeceğini belirtir. Bu, paketlerin tek bir işlemde yakalanıp ayrı bir işlemde görüntülenmesiyle yapılır. Bu, "Capture Options" iletişim kutusundaki "Update list of packets in real time" seçeneğiyle aynıdır.

-t <time stamp format>

Bu seçenek, paket listesi penceresinde görüntülenen paket zaman damgalarının biçimini ayarlar.

Biçim (format) aşağıdakilerden biri olabilir:

Göreceli, zaman damgalarının ilk yakalanan pakete göre görüntülenmesini belirtir.

Yakalama Başlangıcına Göre, zaman damgalarının yakalamanın başlangıcına göre görüntülenmesini belirtir.

Mutlak, tüm paketler için gerçek zamanların görüntülenmesini belirtir.

Tüm paketler için gerçek tarih ve saatlerin görüntüleneceğini belirten tarih içeren mutlak değer.

adoy

Tüm paketler için gerçek tarih ve saatlerin görüntülenmesini belirten YYYY/DOY tarihli mutlak değer.

Zaman damgalarının bir önceki pakete göre değiştiğini belirten Delta.

dd:

Delta, which specifies that timestamps are relative to the previous displayed packet.

Epoch: Zaman damgalarının epoch'tan (1 Ocak 1970 00:00:00) bu yana geçen saniyeleri belirttiği

Absolute, tüm paketler için gerçek zamanların UTC'de görüntülenmesini belirtir.

Tarih içeren mutlak değer, tüm paketler için UTC'de gerçek tarih ve saatlerin görüntülenmesini belirtir.

udoy

Tüm paketler için gerçek tarih ve saatlerin UTC'de görüntülenmesini belirten YYYY/DOY tarihli mutlak değer.

-u <s | hms>

Zaman damgalarını saniye ("s", varsayılan) veya saat, dakika ve saniye ("hms") olarak göster

-v, --version

Bu seçenek Wireshark'ın sürüm bilgisini yazdırıp çıkmasını ister.

-w <savefile>

Bu seçenek, yakalanan paketleri kaydetmek için kullanılacak dosyanın adını belirler. Bu, standart çıktı için '-' olabilir.

-y <capture link type>, --link-type <capture like types>

-k ile komut satırından bir yakalama başlatılırsa, paketleri yakalarken kullanılacak veri bağlantı türünü ayarlayın. -L ile bildirilen değerler, kullanılabilecek değerlerdir.

--time-stamp-type <type>

Bir yakalama komut satırından -k ile başlatılırsa, paketleri yakalarken kullanılacak zaman damgası türünü ayarlayın. --list-time-stamp-types tarafından bildirilen değerler, kullanılabilecek değerlerdir.

-X <eXtension option>

Wireshark/TShark modülüne iletilecek bir seçenek belirtin. eXtension seçeneği, extension_key:value biçimindedir; burada extension_key şu şekilde olabilir:

lua_script:<lua_script_filename>

Wireshark'a varsayılan Lua betiklerine (Lua scripts) ek olarak belirtilen betiği yüklemesini söyler.

lua_script[num]:argument

Wireshark'a, lua_script komutunun sayı dizinli sırası olan num ile tanımlanan Lua betiğine belirtilen argümanı iletmesini söyler. Örneğin, yalnızca bir betik -X lua_script:my.lua ile yüklendiyse, -X lua_script1:foo komutu my.lua betiğine foo dizesini iletir. Aynı sırayla -X lua_script:my.lua -X lua_script:other.lua gibi iki betik yüklendiyse, -X lua_script2:bar komutu bar dizesini ikinci Lua betiğine, yani other.lua'ya iletir.

read_format:<file_type>

Wireshark'a otomatik olarak belirlemek yerine belirli bir giriş dosyası türünü kullanmasını söyler.

stdin_descr:<description>

Varsayılan "Standart input" yerine standart giriş arayüzü için bir açıklama tanımlayın.

-Y <display filter>, --display-filter <display filter>

Verilen görüntüleme filtresiyle başlayın.

-z <statistics-string>

Wireshark'ın çeşitli istatistik türlerini toplamasını ve sonuçları yarı gerçek zamanlı olarak güncellenen bir pencerede görüntülemesini sağlayın. Mevcut istatistikler için Wireshark kullanım kılavuzuna bakın.

# wireshark # linux command, # debian, # linux network, #linux security, # ubuntu