建站
咨詢
售后
建站咨詢
新聞中心
pcap文件是常用的數(shù)據(jù)報存儲格式，可以理解為就是一種文件格式，只不過里面的數(shù)據(jù)是按照特定格式存儲的，所以我們想要解析里面的數(shù)據(jù)，也必須按照一定的格式，本篇文章將為大家重點講解一下Linux下操作 pcap 文件具體方法。
Linux下如何操作 pcap 文件Linux下如何操作 pcap 文件
下面，我將介紹一些操作 pcap 文件的工具，以及如何使用它們 。
Editcap 與 Mergecap
Wireshark，是最受歡迎的 GUI 嗅探工具，實際上它帶了一套非常有用的命令行工具集。其中包括 editcap 與 mergecap。editcap 是一個萬能的 pcap 編輯器，它可以過濾并且能以多種方式來分割 pcap 文件。mergecap 可以將多個 pcap 文件合并為一個。 這篇文章就是基于這些 Wireshark 命令行工具的。
如果你已經(jīng)安裝過 Wireshark 了，那么這些工具已經(jīng)在你的系統(tǒng)中了。如果還沒裝的話，那么我們接下來就安裝 Wireshark 命令行工具。 需要注意的是，在基于 Debian 的發(fā)行版上我們可以不用安裝 Wireshark GUI 而僅安裝命令行工具，但是在 Red Hat 及 基于它的發(fā)行版中則需要安裝整個 Wireshark 包。 Debian, Ubuntu 或 Linux Mint
$ sudo apt-get install wireshark-common
Fedora, CentOS 或 RHEL
$ sudo yum install wireshark
當安裝好工具后， 就可以開始使用 editca 與 mergecap 了。
pcap 文件過濾
通過 editcap， 我們能以很多不同的規(guī)則來過濾 pcap 文件中的內(nèi)容，并且將過濾結(jié)果保存到新文件中。
首先，以“起止時間”來過濾 pcap 文件。 ” – A 和 ” – B 選項可以過濾出在這個時間段到達的數(shù)據(jù)包（如，從 2:30 ～ 2:35）。時間的格式為 “ YYYY-MM-DD HH:MM:SS”。
$ editcap -A '2014-12-10 10:11:01' -B '2014-12-10 10:21:01' input.pcap output.pcap
也可以從某個文件中提取指定的 N 個包。下面的命令行從 input.pcap 文件中提取100個包（從 401 到 500）并將它們保存到 output.pcap 中：
$ editcap input.pcap output.pcap 401-500
使用 “-D ” （dup-window可以看成是對比的窗口大小，僅與此范圍內(nèi)的包進行對比）選項可以提取出重復(fù)包。每個包都依次與它之前的 -1 個包對比長度與MD5值，如果有匹配的則丟棄。
$ editcap -D 10 input.pcap output.pcap
也可以將 定義成時間間隔。使用”-w ”選項，對比 時間內(nèi)到達的包。
$ editcap -w 0.5 input.pcap output.pcap
分割 pcap 文件
當需要將一個大的 pcap 文件分割成多個小文件時，editcap 也能起很大的作用。將一個 pcap 文件分割成數(shù)據(jù)包數(shù)目相同的多個文件
$ editcap -c (packets -per-[file]) (input -pcap-[file])(output -prefix)
輸出的每個文件有相同的包數(shù)量，以 -NNNN的形式命名。以時間間隔分割 pcap 文件
$ editcap -i (seconds -per-[file]) (input-pcap-[file]) (output-prefix)
合并 pcap 文件
如果想要將多個文件合并成一個，用 mergecap 就很方便。當合并多個文件時，mergecap 默認將內(nèi)部的數(shù)據(jù)包以時間先后來排序。
$ mergecap -w output.pcap input.pcap input2.pcap [input3.pcap . . .]
如果要忽略時間戳，僅僅想以命令行中的順序來合并文件，那么使用 -a 選項即可。例如，下列命令會將 input.pcap 文件的內(nèi)容寫入到 output.pcap, 并且將 input2.pcap 的內(nèi)容追加在后面。
$ mergecap -a -w output.pcap input.pcap input2.pcap
總結(jié)
在這篇指導(dǎo)中，我演示了多個 editcap、 mergecap 操作 pcap 文件的例子。除此之外，還有其它的相關(guān)工具，如 reordercap用于將數(shù)據(jù)包重新排序，text2pcap 用于將 pcap 文件轉(zhuǎn)換為文本格式， pcap-diff用于比較 pcap 文件的異同，等等。當進行網(wǎng)絡(luò)入侵測試及解決網(wǎng)絡(luò)問題時，這些工具與包注入工具非常實用，所以最好了解他們。
當前標題：Linux下操作 pcap 文件具體方法
轉(zhuǎn)載來源：http://fisionsoft.com.cn/article/dhcceoj.html
