您好,登錄后才能下訂單哦!
今天小編給大家分享一下Linux下怎么使用pcap文件的相關(guān)知識(shí)點(diǎn),內(nèi)容詳細(xì),邏輯清晰,相信大部分人都還太了解這方面的知識(shí),所以分享這篇文章給大家參考一下,希望大家閱讀完這篇文章后有所收獲,下面我們一起來了解一下吧。
pcap文件是常用的數(shù)據(jù)報(bào)存儲(chǔ)格式,可以理解為就是一種文件格式,只不過里面的數(shù)據(jù)是按照特定格式存儲(chǔ)的,所以我們想要解析里面的數(shù)據(jù),也必須按照一定的格式。
Editcap 與 Mergecap
Wireshark,是最受歡迎的 GUI 嗅探工具,實(shí)際上它帶了一套非常有用的命令行工具集。其中包括 editcap 與 mergecap。editcap 是一個(gè)萬能的 pcap 編輯器,它可以過濾并且能以多種方式來分割 pcap 文件。mergecap 可以將多個(gè) pcap 文件合并為一個(gè)。 這篇文章就是基于這些 Wireshark 命令行工具的。
如果你已經(jīng)安裝過 Wireshark 了,那么這些工具已經(jīng)在你的系統(tǒng)中了。如果還沒裝的話,那么我們接下來就安裝 Wireshark 命令行工具。 需要注意的是,在基于 Debian 的發(fā)行版上我們可以不用安裝 Wireshark GUI 而僅安裝命令行工具,但是在 Red Hat 及 基于它的發(fā)行版中則需要安裝整個(gè) Wireshark 包。 Debian, Ubuntu 或 Linux Mint
$ sudo apt-get install wireshark-common
Fedora, CentOS 或 RHEL
$ sudo yum install wireshark
當(dāng)安裝好工具后, 就可以開始使用 editca 與 mergecap 了。
pcap 文件過濾
通過 editcap, 我們能以很多不同的規(guī)則來過濾 pcap 文件中的內(nèi)容,并且將過濾結(jié)果保存到新文件中。
首先,以“起止時(shí)間”來過濾 pcap 文件。 ” – A 和 ” – B 選項(xiàng)可以過濾出在這個(gè)時(shí)間段到達(dá)的數(shù)據(jù)包(如,從 2:30 ~ 2:35)。時(shí)間的格式為 “ YYYY-MM-DD HH:MM:SS”。
$ editcap -A '2014-12-10 10:11:01' -B '2014-12-10 10:21:01' input.pcap output.pcap
也可以從某個(gè)文件中提取指定的 N 個(gè)包。下面的命令行從 input.pcap 文件中提取100個(gè)包(從 401 到 500)并將它們保存到 output.pcap 中:
$ editcap input.pcap output.pcap 401-500
使用 “-D ” (dup-window可以看成是對(duì)比的窗口大小,僅與此范圍內(nèi)的包進(jìn)行對(duì)比)選項(xiàng)可以提取出重復(fù)包。每個(gè)包都依次與它之前的 -1 個(gè)包對(duì)比長度與MD5值,如果有匹配的則丟棄。
$ editcap -D 10 input.pcap output.pcap
也可以將 定義成時(shí)間間隔。使用”-w ”選項(xiàng),對(duì)比 時(shí)間內(nèi)到達(dá)的包。
$ editcap -w 0.5 input.pcap output.pcap
分割 pcap 文件
當(dāng)需要將一個(gè)大的 pcap 文件分割成多個(gè)小文件時(shí),editcap 也能起很大的作用。將一個(gè) pcap 文件分割成數(shù)據(jù)包數(shù)目相同的多個(gè)文件
$ editcap -c (packets -per-[file]) (input -pcap-[file])(output -prefix)
輸出的每個(gè)文件有相同的包數(shù)量,以 -NNNN的形式命名。以時(shí)間間隔分割 pcap 文件
$ editcap -i (seconds -per-[file]) (input-pcap-[file]) (output-prefix)
合并 pcap 文件
如果想要將多個(gè)文件合并成一個(gè),用 mergecap 就很方便。當(dāng)合并多個(gè)文件時(shí),mergecap 默認(rèn)將內(nèi)部的數(shù)據(jù)包以時(shí)間先后來排序。
$ mergecap -w output.pcap input.pcap input2.pcap [input3.pcap . . .]
如果要忽略時(shí)間戳,僅僅想以命令行中的順序來合并文件,那么使用 -a 選項(xiàng)即可。例如,下列命令會(huì)將 input.pcap 文件的內(nèi)容寫入到 output.pcap, 并且將 input2.pcap 的內(nèi)容追加在后面。
$ mergecap -a -w output.pcap input.pcap input2.pcap
以上就是“Linux下怎么使用pcap文件”這篇文章的所有內(nèi)容,感謝各位的閱讀!相信大家閱讀完這篇文章都有很大的收獲,小編每天都會(huì)為大家更新不同的知識(shí),如果還想學(xué)習(xí)更多的知識(shí),請(qǐng)關(guān)注億速云行業(yè)資訊頻道。
免責(zé)聲明:本站發(fā)布的內(nèi)容(圖片、視頻和文字)以原創(chuàng)、轉(zhuǎn)載和分享為主,文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng),如果涉及侵權(quán)請(qǐng)聯(lián)系站長郵箱:is@yisu.com進(jìn)行舉報(bào),并提供相關(guān)證據(jù),一經(jīng)查實(shí),將立刻刪除涉嫌侵權(quán)內(nèi)容。