readme

把tshark的-e（导出协议字段）放在了python 命令行参数里，适用下面两种情况灵活选择

若显示的是 HID Data

-e usbhid.data

若显示的是 Leftover Capture Data

-e usb.capdata

Usage

• windows下使用把wireshark文件夹下的tshark放在环境变量里，起码这样

• linux下别忘了sudo apt-get install tshark，安装tshark

Usage : 
        python UsbKeyboardDataexp.py -f pcapfile -e fieldvalue [-Y "xxx"]
        `-f` 流量文件
        `-Y` 过滤器条件[选项可选]
        `-e` 导出协议字段

example

example里面是三个样本，ez_usb是一道题目，其他两个名文件名分别是-e导出协议字段名的选项 -Y就是wireshark里的过滤器的过滤条件

python .\UsbKeyboardDataexp.py -f .\example\ez_usb.pcapng -e usbhid.data -Y "usb.src==2.8.1"
其他同理

Acknowledgment

@WangYihang