编辑pcap文件

1、使用tshark编辑pcap文件

//过滤掉不是tcp的数据包
tshark -r sichuandianli.pcap -w tcp_output.pcap -Y "tcp"

//过滤掉消息长度大于1500字节的数据包
tshark -r outcap.pcap -Y "frame.len <= 1500" -w out_filter.pcap

//过滤掉消息长度大于1500字节和不是tcp的数据包
tshark -r path/to/pcap/file.pcap -Y “frame.len <= 1500 || tcp” -w path/to/new/pcap/file.pcap

其中-r 后的是您要过滤的pcap文件的路径，-w 后的是您要导出的新pcap文件的路径

 

2、将大的pcap文件切割为小的pcap文件

//按包数量分割：输出的每个文件都有count个数据包，以output-NNN.pcap命名
editcap -c count input.pcap output.pcap

//截取前1000个数据包
tcpdump -r chicago.pcap -c 1000 -w output.pcap

//将文件分为多个文件，每个100M
tcpdump -r file001.cap -C 100 -w newfile001.cap