在Linux下操作pcap文件的各种方法整理(linuxcp命令如何使用)

编辑：rootadmin

推荐整理分享在Linux下操作pcap文件的各种方法整理(linuxcp命令如何使用)，希望有所帮助，仅作参考，欢迎阅读内容。

文章相关热门搜索词:linuxpv操作,linuxcp命令如何使用,linuxcp命令如何使用,linux pcsc,linux使用cp,linuxcp-p,linux pcsc,linux pcsc,内容如对您有帮助，希望把文章链接给更多的朋友！

如果你是一个测试入侵侦测系统或一些网络访问控制策略的网络管理员，那么你经常需要抓取数据包并在离线状态下分析这些文件。当需要保存捕获的数据包时，我们一般会存储为 libpcap 的数据包格式 pcap，这是一种被许多开源的嗅探工具以及捕包程序广泛使用的格式。如果 pcap 文件被用于入侵测试或离线分析的话，那么在将他们注入网络之前通常要先对 pcap 文件进行一些操作。

在这篇文章中，我将介绍一些操作 pcap 文件的工具，以及如何使用它们。Editcap 与 Mergecap

Wireshark，是最受欢迎的 GUI 嗅探工具，实际上它带了一套非常有用的命令行工具集。其中包括 editcap 与 mergecap。editcap 是一个万能的 pcap 编辑器，它可以过滤并且能以多种方式来分割 pcap 文件。mergecap 可以将多个 pcap 文件合并为一个。这篇文章就是基于这些 Wireshark 命令行工具的。

如果你已经安装过 Wireshark 了，那么这些工具已经在你的系统中了。如果还没装的话，那么我们接下来就安装 Wireshark 命令行工具。需要注意的是，在基于 Debian 的发行版上我们可以不用安装 Wireshark GUI 而仅安装命令行工具，但是在 Red Hat 及基于它的发行版中则需要安装整个 Wireshark 包。

Debian, Ubuntu 或 Linux Mint

复制代码代码如下:$ sudo apt-get install wireshark-common

Fedora, CentOS 或 RHEL

复制代码代码如下:$ sudo yum install wireshark

当安装好工具后，就可以开始使用 editca 与 mergecap 了。pcap 文件过滤

通过 editcap，我们能以很多不同的规则来过滤 pcap 文件中的内容，并且将过滤结果保存到新文件中。

首先，以“起止时间”来过滤 pcap 文件。 " - A < start-time > 和 " - B < end-time > 选项可以过滤出在这个时间段到达的数据包（如，从 2: ～ 2:）。时间的格式为 “ YYYY-MM-DD HH:MM:SS"。

复制代码代码如下:$ editcap -A '-- ::' -B '-- ::' input.pcap output.pcap

也可以从某个文件中提取指定的 N 个包。下面的命令行从 input.pcap 文件中提取个包（从到）并将它们保存到 output.pcap 中：

复制代码代码如下:$ editcap input.pcap output.pcap -

使用 "-D < dup-window >" （dup-window可以看成是对比的窗口大小，仅与此范围内的包进行对比）选项可以提取出重复包。每个包都依次与它之前的 < dup-window > -1 个包对比长度与MD5值，如果有匹配的则丢弃。

复制代码代码如下:$ editcap -D input.pcap output.pcap