我有一个巨大的pcap文件（由tcpdump生成）。 当我尝试用wireshark打开它时，程序只是无响应。 有没有办法把文件分成一组小文件逐一打开？ 在一个文件中捕获的stream量是由两个服务器上的两个程序生成的，所以我不能使用tcpdump的“主机”或“端口”filter来分割文件。 我也试过linux'split'命令:-)但没有运气。 Wireshark无法识别格式。
你可以使用tcpdump本身和-C，-r和-w选项
tcpdump -r old_file -w new_files -C 10
“-C”选项指定要分割的文件的大小。 例如：在上述情况下，新的文件大小将是每个1000万字节。
使用Wireshark分发的editcap实用程序。
最好的和最快的方法是使用SplitCap，它可以根据会话分割大型数据包转储文件。 这样你就可以在一个单独的PCAP文件中获得每个TCP会话。 SplitCap还可以根据IP地址将数据包分成pcap文件。
您可以在Netresec博客上阅读有关SplitCap的更多信息： http : //www.netresec.com/? page=Blog&month=2011-05&post=Split-or-filter-your-PCAP-files-with-SplitCap
从这里下载SplitCap： http : //www.netresec.com/? page=SplitCap
祝你好运！
我知道这个答案有点晚，但也可以服务于其他人。 我发现了一个用于分割pcap文件的好工具： PcapSplitter 。 它是PcapPlusPlus库的一部分，这意味着它是跨平台的（Win32，Linux和Mac OS），它可以根据不同的标准（例如文件大小（您似乎需要））分割pcap文件，也可以通过连接，客户机/服务器IP，服务器端口（类似于协议），数据包计数等。我发现它非常有用。 上面的链接是为源代码，但如果你不想/如何编译，我创build了编译的二进制文件 ，我一直在使用这个工具的几个平台。 我非常推荐这个工具
编辑：显然是新版本的PcapPlusPlus发布，它包含相当多的平台（Windows，Ubuntu 12.04 / 14.04，Mac OSX小牛/优胜美地/ El Captian）的PcapSplitter二进制文件。 我认为使用这些二进制文件比我以前提供的链接更好。 你可以在这里find它