pcap - 过滤 pcap 的前十分钟

Question

我有一个很大的 pcap 文件，我想生成一个仅包含前十分钟流量的新 pcap。我可以使用 tcpdump 执行此操作吗？我在网上看到过 editcap ，但如果可能的话我想使用 tcpdump 。

Answer 1

您可以使用tcpdump来做到这一点;然而，使用 editcap 会简单得多因为我能想到的使用 tcpdump 执行此操作的唯一实用方法是使用 Wireshark (或 tshark )首先查找捕获文件中至少 10 分钟的数据包的帧号。获得帧编号后，tcpdump 可用于仅保存该帧之前的数据包，从而有效地将输出文件限制为所需的 10 分钟持续时间。方法如下:

首先，找到捕获文件中至少 10 分钟的第一个数据包(这里我将使用 tshark 进行说明，但也可以使用 Wireshark):

tshark -r bigfile.pcap -Y "frame.time_relative <= 600.0"

记下显示的最后一个数据包的帧号。 (帧编号是每行的第一个数字，假设标准 tshark 列。)为了便于说明，我们假设帧编号为 21038。

其次，使用tcpdump仅将前21038帧保存到新文件中:

tcpdump -r bigfile.pcap -c 21038 -w bigfile_first10min.pcap

但是由于 editcap 随 Wireshark 套件一起提供，因此您可以使用以下命令更简单地完成等效操作，这会将大型捕获文件分割为每 10 分钟持续时间一次的捕获文件(除了最后一个，可能更少):

editcap -F pcap -i 600 bigfile.pcap bigfile_split10min.pcap

如果您只对第一个文件感兴趣，请忽略其余文件。

当然，正如 @madmax1 所指出的，您还可以对上述 tshark 命令进行简单修改，将与过滤器匹配的数据包写入新文件:

tshark -r bigfile.pcap -Y "frame.time_relative <= 600.0" -w bigfile_first10min.pcap