后綴為.pcap是什么文件呢

allcherry

我在網(wǎng)上查過pcap是和網(wǎng)絡(luò)抓包有關(guān)的，那我請想問，一個后綴為.pcap的文件，是什么文件，要用什么打開？謝謝！緊急!

kns1024wh

針對網(wǎng)絡(luò)接口、端口和協(xié)議的數(shù)據(jù)包截取。假定你要截取網(wǎng)絡(luò)接口eth1，端口號6881的tcp數(shù)據(jù)包。數(shù)據(jù)文件保存為test.pcap。

tcpdump -w test.pcap -i eth1 tcp port 6881

很簡單吧？如果要同時截取udp端口號33210和33220的數(shù)據(jù)包呢？

tcpdump -w test.pcap -i eth1 tcp port 6881 or udp \( 33210 or 33220 \)

'\'是轉(zhuǎn)義字符，邏輯符號OR是加(+)的意思。其他表達式是截取端口號6881的tcp包加上端口號33210和33220的UDP包。tcpdump過濾表達式的and運算符是交集的意思，因此截取端口號33210和33220的UDP包使用 or 而不是 and。and運算符的用法在下文描述。

怎樣保存文件讀取數(shù)據(jù)包呢？

tcpdump -nnr test.pcap

選項 -nn 不把網(wǎng)絡(luò)IP和端口號轉(zhuǎn)換成名字，r(read)讀取包。

可以添加 -tttt 選項使時間戳格式更加可讀。

tcpdump -ttttnnr test.pcap

怎樣針對IP截取數(shù)據(jù)？

需向tcpdump指明IP類型，目的IP還是源IP？比如要嗅探的目的IP為10.168.28.22，tcp端口號22。

tcpdump -w test.pcap dst 10.168.28.22 and tcp port 22

目的IP和端口的交集(intersection)，使用and運算符。

嗅探數(shù)據(jù)包大小缺省為96 bytes，可以指定 -s 改變?nèi)笔≈怠?br />
tcpdump -w test.pcap -s 1550 dst 10.168.28.22 and tcp port 22

有些版本的tcpdump允許指定端口范圍,下述指令為針對一定端口范圍截取數(shù)據(jù)。

tcpdump tcp portrange 20-24

注意，上述指令沒有指定 -w 把截取的數(shù)據(jù)包保存到文件而是直接輸出到屏幕。

allcherry

那怎樣打開.pcap文件呢

changzi100

tcpdump -r test.pcap

emmoblin

太佩服版主了，太敬業(yè)了

handsomezhi

很實用！

chenyx

學(xué)習(xí)了