我需要将 pcap-ng/ 现在的 pcap 文件转换为原始文件,以便能够使用 multimon-ng 对其进行分析。有什么建议吗?这应该是可能的,但我不知道应该怎么做。
如何将 pcap 文件转换为原始文件?
信息安全
取证
线鲨
2021-08-19 21:51:30
3个回答
如果您只想要所有数据的 ASCII 十六进制转储而不需要其他任何东西,那么您可以简单地通过 sed 管道输出 tshark:
tshark -x -r mydata.pcap | sed -n 's/^[0-9a-f]*\s\(\(\s[0-9a-f][0-9a-f]\)\{1,16\}\).*$/\1/p'
打开 Wireshark 并转到:
Menu -> File -> Export Packet Dissections -> As Plain Text File
选择您想在txt文件中看到的数据包范围:
如果您对命令行解决方案感兴趣,那么您可以查看tshark 文档。
我没有看到multimon-ng README 文件中列出的以太网或 IEEE 802.11 的任何传输模式,所以我不确定您将如何分析在 OSI 第 2 层使用 multimon-ng 完成的网络捕获.
即,我不确定您是否可以将任意 pcap 文件转换为 multimon-ng 可以分析的内容。 如果pcap 文件中有一些协议包含无线电信号的波形,则可能有一种方法可以将波形转储到一个文件中,然后可以通过 multimon-ng 进行分析,但是您不能,例如,打开 802.11 捕获转换为底层 802.11 PHY 的无线电波形 - 模拟无线电信号早已被转换为比特流并由 802.11 适配器进一步处理,删除该层的信息。
