wireshark - 将 pcap 格式从 LINKTYPE_LINUX_SSL 转换为 LINKTYPE_ETHERNET

Question

我正在尝试解析 pcap 文件，但是我需要链接类型为 LINKTYPE_ETHERNET ，而我拥有的当前文件正在使用 LINKTYPE_LINUX_SSL (此处的文档 http://www.tcpdump.org/linktypes/LINKTYPE_LINUX_SLL.html )

有谁知道这是否是我可以使用 tshark 完成的任务，或者我将不得不一起破解一些自定义的东西来获得转换。

谢谢!

Answer 1

这个问题有been asked (并回答)之前在 wireshark 上自己的堆栈溢出版本。但我会在这里重复一点，更详细一点。
wireshark 使用了一个 linux 熟套接字(SLL，不要与 SSL 混淆)。在 上捕获时全部 接口(interface)。这是解决不同接口(interface)具有不同 MAC 地址这一事实的巧妙方法。 SLL 格式在链路层没有 MAC 地址，这在从多个接口(interface)捕获时很有用，但在尝试将其转换为具有 MAC 地址的链路层时会出现问题。
tshark绝对做不到。 tshark无法更改捕获文件的格式。
editcap是 wireshark的捕获文件编辑器，它是用于更改捕获文件格式的工具。还是 editcap只改变文件格式，它不能重写包本身。你要问的是关于重写链接层。
wireshark 不附带任何元素能够重写捕获文件内的链接层。

您需要的是(适当命名的)tcprewrite实用程序，在 tcpreplay package 中提供.您需要在命令行中将 MAC 地址添加到 tcprewrite ，源地址和目的地址:

tcprewrite --dlt=enet --enet-dmac=52:54:00:11:11:11 \
    --enet-smac=52:54:00:22:22:22 -i in.pcap -o out.pcap

如果您确信两个设备正在通话，您可以使用 --enet-dmac 的逗号语法。和 --enet-smac .

tcprewrite --dlt=enet --enet-dmac=52:54:00:11:11:11,52:54:00:22:22:22 \
    --enet-smac=52:54:00:22:22:22,52:54:00:11:11:11 -i in.pcap -o out.pcap

您很可能想要使用第二个命令，因为它看起来更可信 ethernet对话。

大多数操作系统都有 tcpreplay在他们的包存储库中。