标签：文件 分割 editcap mergecap 过滤 input output pcap
Editcap 与 Mergecap
Wireshark，是最受欢迎的 GUI 嗅探工具，实际上它带了一套非常有用的命令行工具集。其中包括 editcap 与 mergecap。editcap 是一个万能的 pcap 编辑器，它可以过滤并且能以多种方式来分割 pcap 文件。mergecap 可以将多个 pcap 文件合并为一个。可以在windows下或Linux下使用。
pcap 文件过滤
通过 editcap， 我们能以很多不同的规则来过滤 pcap 文件中的内容，并且将过滤结果保存到新文件中。
首先，以“起止时间”来过滤 pcap 文件。 -A
editcap -A '2014-12-10 10:11:01' -B '2014-12-10 10:21:01' input.pcap output.pcap
也可以从某个文件中提取指定的 N 个包。下面的命令行从 input.pcap 文件中提取100个包（从 401 到 500）并将它们保存到 output.pcap 中：
editcap input.pcap output.pcap 401-500
分割 pcap 文件
当需要将一个大的 pcap 文件分割成多个小文件时，editcap 也能起很大的作用。
将一个 pcap 文件分割成数据包数目相同的多个文件
editcap -c <packets-per-file> <input-pcap-file> <output-prefix>
输出的每个文件有相同的包数量，以 < output-prefix >-NNNN的形式命名。
以时间间隔分割 pcap 文件
editcap -i <seconds-per-file> <input-pcap-file> <output-prefix>
合并 pcap 文件
如果想要将多个文件合并成一个，用 mergecap 就很方便。
当合并多个文件时，mergecap 默认将内部的数据包以时间先后来排序。
mergecap -w output.pcap input.pcap input2.pcap [input3.pcap . . .]
如果要忽略时间戳，仅仅想以命令行中的顺序来合并文件，那么使用 -a 选项即可。
例如，下列命令会将 input.pcap 文件的内容写入到 output.pcap, 并且将 input2.pcap 的内容追加在后面。
mergecap -a -w output.pcap input.pcap input2.pcap
标签：文件,分割,editcap,mergecap,过滤,input,output,pcap 来源： https://www.cnblogs.com/Higgerw/p/16402180.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。