networking - tshark - Cómo concatenar dos archivos tcpdump(archivos pcap)

wireshark download

Question

¿Cómo concatenar dos archivos tcpdump para que aparezca un tráfico tras otro en el archivo? Para ser concreto, quiero "multiplicar" un archivo tcpdump, de modo que todas las sesiones se repitan una tras otra varias veces de forma secuencial.

Answer 1

Pruebe pcapjoiner (comercial, con demostración limitada a 1000 paquetes).

Answer 2

Utilice mergecap de Wireshark:

mergecap ... -w output.cap

Answer 3

Wireshark tiene el comando Archivo -> Combinar que debería hacer esto.

También recuerdo que mergecap es una herramienta para hacerlo, pero no lo he usado en mucho tiempo.

Answer 4

mergecap puede resolver su problema, pero debe usarlo con la opción ''-a'', de lo contrario, reordena los paquetes temporalmente. Luego: mergecap -a file_1.pcap file_1.pcap file_1.cap -w output_file.pcap

Answer 5

para unir múltiples pcap, usa este script por lotes

todos los archivos de pcap deben estar en la misma carpeta que el script de proceso por lotes y también el primer archivo de pcap debe llamarse 01.pcap y el segundo debe ser 02.pcap cuando dirija el directorio, no hay otra limitación.

@echo off
@setlocal enableextensions enabledelayedexpansion
set /a var1=1
set mergecapL="C:/Program Files/Wireshark"
dir /b *.pcap > list.txt
%mergecapL%/mergecap.exe -w %cd%/out%var1%.pcap %cd%/01.pcap %cd%/02.pcap
FOR /F "skip=2 delims=" %%A IN (list.txt) DO (
set var2=!var1!
set /a var1+=1
%mergecapL%/mergecap.exe -w %cd%/out!var1!.pcap %cd%/out!var2!.pcap "%cd%/%%A"
del out!var2!.pcap
)
del list.txt

Answer 6

Como dicen las otras respuestas, puede usar Archivo-> Combinar en Wireshark, tcpslice o mergecap. También puede arrastrar un archivo a la ventana principal de Wireshark. Si Wireshark / tcpdump / snort / Ntop / etc fuera compatible con pcap-ng, simplemente podría concatenar sus archivos de captura.