pcap - 过滤特定时间范围的 pcap 转储文件

Question

是否有任何简单的方法可以使用 tshark 为与特定日期时间范围相关的数据包创建 pcap 文件？ , tcpdump或其他命令行工具？
tshark -R与 frame.time看起来很有希望，但我还没有能够解决这个问题......

编辑

最后的命令:

editcap -F libpcap -A "2013-07-20 23:00:00" -B "2013-07-20 23:20:00" input.pcap output.pcap

Answer 1

您需要的是editcap .它是一个命令行工具，属于 Wireshark 系列。

查看手册页 http://www.wireshark.org/docs/man-pages/editcap.html .

它需要一个 pcap 文件作为输入，并写入一个输出文件。您可以对 infile 进行操作以过滤内容，例如，使用 开始时间和结束时间 ，数据包编号范围，捕捉数据包长度，调整时间戳(!)等。这是一个很棒的工具。