编辑pcap文件

1、使用tshark编辑pcap文件

?

1 2 3 4 5 6 7 8

//过滤掉不是tcp的数据包 tshark -r sichuandianli.pcap -w tcp_output.pcap -Y "tcp"   //过滤掉消息长度大于1500字节的数据包 tshark -r outcap.pcap -Y "frame.len <= 1500" -w out_filter.pcap   //过滤掉消息长度大于1500字节和不是tcp的数据包 tshark -r path/to/pcap/file.pcap -Y “frame.len <= 1500 || tcp” -w path/to/new/pcap/file.pcap

其中-r 后的是您要过滤的pcap文件的路径，-w 后的是您要导出的新pcap文件的路径

 

2、将大的pcap文件切割为小的pcap文件

?

1 2 3 4 5 6 7 8

//按包数量分割：输出的每个文件都有count个数据包，以output-NNN.pcap命名 editcap -c count input.pcap output.pcap   //截取前1000个数据包 tcpdump -r chicago.pcap -c 1000 -w output.pcap   //将文件分为多个文件，每个100M tcpdump -r file001.cap -C 100 -w newfile001.cap