tshark

• 查看 pcap 文件第一個(gè)包的時(shí)間，當(dāng)文件名不包含時(shí)間信息時(shí)非常有幫助?

　　　tshark?-c?1?-T?fields?-e?frame.time?-r?test.pcap

dumpcap

editcap

基本語(yǔ)法

editcap?[options]?...?<infile>?<outfile>?[?<packet#>[-<packet#>]?...?]

主要參數(shù)分類(lèi)含義權(quán)作解說(shuō)

包選擇類(lèi)

-r? 保留選擇的包；默認(rèn)為刪除。
-A?<start?time>? 選擇所有包的時(shí)間戳大于該時(shí)間的包。
-B?<stop?time>? 選擇所有包的時(shí)間戳小于該時(shí)間的包。

刪除重復(fù)包類(lèi)

-d? 刪除重復(fù)的包（默認(rèn) 5 個(gè)內(nèi)進(jìn)行比對(duì)）。
-D?<dup?window>? 刪除重復(fù)的包，并指定在 <dup?window> 個(gè)包內(nèi)進(jìn)行比對(duì) <dup?window> 的范圍為 0-1000000 。
-w?<dup?time?window>? 刪除重復(fù)的包，并指定時(shí)間在 <dup?time?window> 之前的數(shù)據(jù)包才做重復(fù)刪除操作。

處理類(lèi)

-s?<snaplen>? 將數(shù)據(jù)包截?cái)喑砷L(zhǎng)度為 <snaplen> 的數(shù)據(jù)包。
-C?<choplen>? 將包尾的 <choplen> 個(gè)字節(jié)砍掉。
-t?<time?adjustment>? 調(diào)整包的時(shí)間戳 ;<time?adjustment>? 即可以為正數(shù)，也可以為負(fù)數(shù)。
-E?<error?probability>? 按照 <error?probability> 的比例隨機(jī)制造錯(cuò)包，例如 <error?probability> 為 0.05 ，則包文件中 5% 的包會(huì)隨機(jī)被配置為各種錯(cuò)包。

輸出類(lèi)

-c?<packets?per?file>? 按包個(gè)數(shù)分割包文件，如 <packets?per?file> 為 1000 ，則將原始包文件分割成多個(gè)文件，每個(gè)文件的包個(gè)數(shù)為 1000 ，當(dāng)然最后一個(gè)文件的包數(shù)可以小于等于 1000.
-i?<seconds?per?file>? 按時(shí)間分割包文件，如 <seconds?per?file> 為 10 ，則每個(gè)被分割的文件中的包時(shí)間戳均在 10s 內(nèi)，且每個(gè)包的時(shí)間戳又會(huì)從 0 開(kāi)始 .
-F?<capture?type>? 設(shè)置輸出文件的格式，默認(rèn)為 pcapng 。
-T?<encap?type>? 設(shè)置輸出文件中包封裝的類(lèi)型，默認(rèn)和原始包封裝類(lèi)型一致。

使用示例

1. 將數(shù)據(jù)包截?cái)酁? 64 字節(jié)長(zhǎng)度，且轉(zhuǎn)換為 snoop 的格式：
editcap?-s?64?-F?snoop?capture.pcap?shortcapture.snoop

2. 刪除原始文件中的第 1000 個(gè)數(shù)據(jù)包：
editcap?capture.pcap?sans1000.pcap?1000

3. 提取原始文件中的第 200 到 750 個(gè)包：
editcap?-r?capture.pcap?small.pcap?200-750

4. 提取原始文件中的第? 1,?5,?10?to?20?and?30?to?40 個(gè)包：
editcap?-r?capture.pcap?select.pcap?1?5?10-20?30-40

5. 刪除與前面 4 個(gè)包中有重復(fù)的包：
editcap?-d?capture.pcap?dedup.pcap

6. 刪除與前面 100 個(gè)包中有重復(fù)的包：
editcap?-D?101?capture.pcap?dedup.pcap

7. 是原始文件中 5% 的包隨機(jī)變?yōu)殄e(cuò)包：
editcap?-E?0.05?capture.pcap?capture_error.pcap

capinfos

• 查看 pcap 的信息?

capinfos?-AM?test.pcap

mergecap

wireshark工具集