我有一个巨大的pcap文件(由tcpdump生成)。 当我尝试用wireshark打开它时,程序只是无响应。 有没有办法把文件分成一组小文件逐一打开? 在一个文件中捕获的stream量是由两个服务器上的两个程序生成的,所以我不能使用tcpdump的“主机”或“端口”filter来分割文件。 我也试过linux'split'命令:-)但没有运气。 Wireshark无法识别格式。
你可以使用tcpdump本身和-C,-r和-w选项
tcpdump -r old_file -w new_files -C 10
“-C”选项指定要分割的文件的大小。 例如:在上述情况下,新的文件大小将是每个1000万字节。
使用Wireshark分发的editcap
实用程序。
最好的和最快的方法是使用SplitCap,它可以根据会话分割大型数据包转储文件。 这样你就可以在一个单独的PCAP文件中获得每个TCP会话。 SplitCap还可以根据IP地址将数据包分成pcap文件。
您可以在Netresec博客上阅读有关SplitCap的更多信息: http : //www.netresec.com/? page=Blog&month=2011-05&post=Split-or-filter-your-PCAP-files-with-SplitCap
从这里下载SplitCap: http : //www.netresec.com/? page=SplitCap
祝你好运!
我知道这个答案有点晚,但也可以服务于其他人。 我发现了一个用于分割pcap文件的好工具: PcapSplitter 。 它是PcapPlusPlus库的一部分,这意味着它是跨平台的(Win32,Linux和Mac OS),它可以根据不同的标准(例如文件大小(您似乎需要))分割pcap文件,也可以通过连接,客户机/服务器IP,服务器端口(类似于协议),数据包计数等。我发现它非常有用。 上面的链接是为源代码,但如果你不想/如何编译,我创build了编译的二进制文件 ,我一直在使用这个工具的几个平台。 我非常推荐这个工具
编辑:显然是新版本的PcapPlusPlus发布,它包含相当多的平台(Windows,Ubuntu 12.04 / 14.04,Mac OSX小牛/优胜美地/ El Captian)的PcapSplitter二进制文件。 我认为使用这些二进制文件比我以前提供的链接更好。 你可以在这里find它