editcap - Online in de cloud

PROGRAMMA:

NAAM

editcap - Bewerk en/of vertaal het formaat van opnamebestanden

KORTE INHOUD

bewerkingskap [ -a ] [ -A ] [ -B ]
[ -c ] [ -C [compensatie:] ] [ -E ]
[ -F ] [ -h ] [ -i ] [ -o ] [ -L ] [ -r ]
[ -s ] [ -S ] [ -t ]
[ -T ] [ -v ] in bestand uitbestand [ pakket#[-pakket#] ... ]

bewerkingskap -d | -D | -w [ -v ] [ -I ]
in bestand uitbestand

bewerkingskap [ -V ]

PRODUCTBESCHRIJVING

Bewerkingskap is een programma dat enkele of alle vastgelegde pakketten van de in bestand,
converteert ze optioneel op verschillende manieren en schrijft de resulterende pakketten naar de capture
uitbestand (of outfiles).

Standaard leest het alle pakketten van de in bestand en schrijft ze naar de uitbestand in pcap
bestandsformaat.

Een optionele lijst met pakketnummers kan worden gespecificeerd op de opdrachtstaart; individueel pakket
nummers gescheiden door witruimte en/of reeksen pakketnummers kunnen worden gespecificeerd als
begin-einde, verwijzend naar alle pakketten van begin naar einde. Standaard de geselecteerde pakketten
met die cijfers wel niet naar het opnamebestand worden geschreven. Als de -r vlag is opgegeven,
de hele pakketselectie is omgekeerd; in dat geval Slechts de geselecteerde pakketten zullen zijn
naar het opnamebestand geschreven.

Bewerkingskap kan ook worden gebruikt om dubbele pakketten te verwijderen. Verschillende opties (-d, -D
en -w) worden gebruikt om het te gebruiken pakketvenster of het relatieve tijdvenster te besturen
dubbele vergelijking.

Bewerkingskap kan worden gebruikt om commentaarreeksen aan framenummers toe te wijzen.

Bewerkingskap kan dezelfde vastlegbestanden detecteren, lezen en schrijven die worden ondersteund door
Wireshark. Het invoerbestand heeft geen specifieke bestandsnaamextensie nodig; het bestandsformaat en
een optionele gzip-compressie wordt automatisch gedetecteerd. In de buurt van het begin van de
BESCHRIJVING sectie van wireshark(1) of
is een gedetailleerde beschrijving van de
weg Wireshark behandelt dit, wat op dezelfde manier is Bewerkingskap handelt dit af.

Bewerkingskap kan het bestand in verschillende uitvoerformaten schrijven. De -F vlag kan worden gebruikt om te specificeren
het formaat waarin het opnamebestand moet worden geschreven; bewerkingskap -F geeft een lijst van de beschikbare
uitvoer formaten.

OPTIES

-A
Wijs voor het specifieke framenummer de gegeven commentaartekenreeks toe. Kan voor herhaald worden
meerdere kaders. Aanhalingstekens moeten worden gebruikt bij commentaarreeksen die spaties bevatten.

-A
Slaat alleen de pakketten op waarvan de tijdstempel op of na de starttijd ligt. De tijd is gegeven
in het volgende formaat JJJJ-MM-DD HH:MM:SS

-B
Slaat alleen de pakketten op waarvan de tijdstempel vóór de stoptijd ligt. De tijd staat vermeld in de
volgende notatie JJJJ-MM-DD HH:MM:SS

-C
Splitst de pakketuitvoer op in verschillende bestanden op basis van uniforme pakketaantallen met a
maximaal van elk. Elk uitvoerbestand wordt gemaakt met een achtervoegsel
-nnnnn, beginnend met 00000. Als het opgegeven aantal pakketten naar de
uitvoerbestand, wordt het volgende uitvoerbestand geopend. De standaardinstelling is het gebruik van één enkele uitvoer
bestand.

-C [compensatie:]
Stelt de choplengte in die moet worden gebruikt bij het schrijven van de pakketgegevens. Elk pakje wordt in stukjes gesneden
bytes aan gegevens. Positieve waarden worden bij het begin van het pakket afgebroken, terwijl ze negatief zijn
waarden hakken aan het pakketeinde.

Als een optionele offset voorafgaat aan de , dan worden de gehakte bytes gecompenseerd
van die waarde. Positieve offsets gelden vanaf het begin van het pakket, hoewel ze negatief zijn
offsets zijn vanaf het pakketeinde.

Dit is handig voor het hakken van headers voor het decapsuleren van een volledige opname en het verwijderen ervan
tunneling headers, of in het zeldzame geval dat de conversie tussen twee bestandsformaten
laat aan het einde van elk pakket enkele willekeurige bytes achter. Een ander gebruik is voor het verwijderen van vlan
labels.

OPMERKING: Deze optie kan meerdere keren worden gebruikt, waardoor u effectief bytes kunt hakken
van maximaal twee verschillende gebieden van een pakket in één keer, op voorwaarde dat u dit opgeeft
minimaal één haklengte als positieve waarde en minimaal één als negatieve waarde.
Alle positieve haksellengtes worden bij elkaar opgeteld, evenals alle negatieve haksellengtes.

-d Pogingen om dubbele pakketten te verwijderen. De lengte en MD5-hash van het huidige pakket
worden vergeleken met de voorgaande vier (4) pakketten. Als er een match wordt gevonden, wordt de current
pakket wordt overgeslagen. Deze optie is gelijk aan het gebruik van de optie -D 5.

-D
Pogingen om dubbele pakketten te verwijderen. De lengte en MD5-hash van het huidige pakket
worden vergeleken met de vorige - 1 pakjes. Als er een match wordt gevonden, wordt de
huidige pakket wordt overgeslagen.

Het gebruik van de optie -D 0 gecombineerd met -v optie is handig omdat elk pakket
Pakketnummer, Len en MD5 Hash worden standaard afgedrukt. Deze uitgebreide uitvoer
(met name de MD5-hashstrings) kunnen nuttig zijn in scripts om duplicaten te identificeren
pakketten over traceerbestanden.

De wordt opgegeven als een geheel getal tussen 0 en 1000000 (inclusief).

OPMERKING: Geef groot op waarden met grote traceerbestanden kunnen resulteren in zeer
lange verwerkingstijden voor bewerkingskap.

-E
Stelt de waarschijnlijkheid in dat bytes in het uitvoerbestand willekeurig worden gewijzigd. Bewerkingskap toepassingen
die waarschijnlijkheid (tussen 0.0 en 1.0 inclusief) om fouten toe te passen op elke databyte in
het bestand. Een waarschijnlijkheid van 0.02 betekent bijvoorbeeld dat elke byte een kans van 2% heeft
een fout hebben.

Deze optie is bedoeld om te worden gebruikt voor fuzz-testprotocol-dissectoren.

-F
Stelt de bestandsindeling in van het uitvoeropnamebestand. Bewerkingskap kan het bestand erin schrijven
verschillende formaten, bewerkingskap -F biedt een lijst met de beschikbare uitvoerformaten. De
standaard is de PCAP formaat.

-h Drukt de versie en opties af en sluit af.

-i
Splitst de pakketuitvoer naar verschillende bestanden op basis van uniforme tijdsintervallen met behulp van a
maximale interval van elk. Elk uitvoerbestand wordt gemaakt met een
achtervoegsel -nnnnn, beginnend met 00000. Als pakketten voor het opgegeven tijdsinterval zijn
naar het uitvoerbestand geschreven, wordt het volgende uitvoerbestand geopend. De standaard is om een
enkel uitvoerbestand.

-I
Negeer het opgegeven bytesnummer aan het begin van het frame tijdens MD5-hash
berekening Handig om dubbele pakketten te verwijderen die op verschillende routers zijn opgenomen (verschillende
mac-adressen bijvoorbeeld) bijv. -I 26 in het geval van Ether/IP/ wordt genegeerd ether(14) en
IP-header (20 - 4(src ip) - 4(dst ip)). De standaardwaarde is 0.

-L Pas de originele framelengte dienovereenkomstig aan tijdens het hakken en/of klikken (in
naast de vastgelegde lengte, die altijd wordt aangepast, ongeacht of -L is
gespecificeerd of niet). Zie ook -C <choplen> en -s <snaplen>.

-O
Wanneer gebruikt in combinatie met -E, sla dan enkele bytes vanaf het begin van het pakket over
worden veranderd. Op deze manier worden sommige headers niet gewijzigd en is de fuzzer groter
gericht op een kleiner deel van het pakket. Een deel van het pakket hetzelfde laten
dissector wordt geactiveerd, waardoor het fuzzen nauwkeuriger wordt.

-r Keer de pakketselectie om. Veroorzaakt de pakketten waarvan de pakketnummers zijn opgegeven
op de opdrachtregel om naar het uitvoeropnamebestand te schrijven, in plaats van het weg te gooien
Hen.

-S
Stelt de momentopnamelengte in die moet worden gebruikt bij het schrijven van de gegevens. Als de -s vlag is gewend
specificeer een momentopnamelengte, pakketten in het invoerbestand met meer vastgelegde gegevens dan de
de opgegeven momentopnamelengte heeft alleen de hoeveelheid gegevens die door de momentopname is opgegeven
lengte geschreven naar het uitvoerbestand.

Dit kan handig zijn als het programma dat het uitvoerbestand moet lezen dit niet aankan
pakketten die groter zijn dan een bepaalde grootte (bijvoorbeeld de versies van snoop in Solaris
2.5.1 en Solaris 2.6 lijken Ethernet-pakketten groter dan de standaard te weigeren
Ethernet MTU, waardoor ze niet in staat zijn gigabit Ethernet-opnamen te verwerken als ze jumbo zijn
Er zijn pakketten gebruikt).

-S
Tijdsaanpassing van geselecteerde pakketten om een ​​strikte chronologische volgorde te garanderen.

De waarde vertegenwoordigt relatieve seconden gespecificeerd als
[-]seconden[.fractioneel seconden].

Terwijl het opnamebestand wordt verwerkt, is de absolute tijd van elk pakket mogelijk aangepast
gelijk zijn aan of groter zijn dan de absolute tijdstempel van het vorige pakket, afhankelijk van de
waarde.

Als waarde is dan 0 of groter (bijvoorbeeld 0.000001). Slechts pakketten
met een tijdstempel kleiner dan het vorige pakket, wordt aangepast. De aangepaste tijdstempel
waarde wordt ingesteld op gelijk aan de tijdstempelwaarde van het vorige pakket plus de
waarde van de waarde. A waarde van 0
zal het minimum aantal tijdstempelwaarden aanpassen dat nodig is om ervoor te zorgen dat de
Het resulterende opnamebestand bevindt zich in strikt chronologische volgorde.

Als waarde wordt opgegeven als een negatieve waarde, gevolgd door de tijdstempel
waarden van allen pakketten worden aangepast zodat ze gelijk zijn aan de tijdstempelwaarde van de
vorig pakket plus de absolute waarde van de strikte tijdsaanpassing waarde. A
waarde van -0 zal ertoe leiden dat alle pakketten de tijdstempel hebben
waarde van het eerste pakket.

Deze functie is handig wanneer het traceerbestand af en toe een pakket met een negatief bevat
deltatijd ten opzichte van het vorige pakket.

-T
Stelt de tijdaanpassing in die moet worden gebruikt voor geselecteerde pakketten. Als de -t vlag is gewend
Als u een tijdaanpassing opgeeft, wordt de opgegeven aanpassing toegepast op alle geselecteerde instellingen
pakketten in het opnamebestand. De aanpassing is gespecificeerd als [-]seconden[.fractioneel
seconden]. Bijvoorbeeld, -t 3600 vervroegt de tijdstempel op geselecteerde pakketten met één uur
en -t -0.5 vermindert de tijdstempel op geselecteerde pakketten met een halve seconde.

Deze functie is handig bij het synchroniseren van dumps die op verschillende machines zijn verzameld
het tijdsverschil tussen de twee machines is bekend of kan worden geschat.

-T
Stelt het pakketinkapselingstype van het uitvoeropnamebestand in. Als de -T vlag wordt gebruikt
om een ​​inkapselingstype op te geven: het inkapselingstype van het uitvoeropnamebestand
wordt geforceerd naar het opgegeven type. bewerkingskap -T geeft een lijst van de beschikbare
soorten. Het standaardtype is het type dat geschikt is voor het inkapselingstype van de invoer
opname bestand.

Opmerking: dit dwingt alleen maar het inkapselingstype van het uitvoerbestand af om het opgegeven type te zijn
type; de pakketheaders van de pakketten zullen niet vanuit de inkapseling worden vertaald
type van het invoeropnamebestand naar het opgegeven inkapselingstype (bijvoorbeeld it
zal een Ethernet-opname niet vertalen naar een FDDI-opname als dat wel het geval is
Lees en '-T fddi' is gespecificeerd). Als u headers van/aan een pakket moet verwijderen/toevoegen,
je zal nodig hebben od(1) /tekst2pcap(1).

-v Oorzaken bewerkingskap om uitgebreide berichten af ​​te drukken terwijl het werkt.

gebruik van -v met de deduplicatieschakelaars van -d, -D or -w zal alle MD5-hashes veroorzaken
afgedrukt, ongeacht of het pakket wordt overgeslagen of niet.

-V Druk de versie af en sluit af.

-w
Pogingen om dubbele pakketten te verwijderen. De aankomsttijd van het huidige pakket wordt vergeleken
met maximaal 1000000 eerdere pakketten. Als de relatieve aankomsttijd van het pakket is minder
neem contact or gelijk naar de van een vorig pakket en de pakketlengte en
De MD5-hash van het huidige pakket is hetzelfde als het pakket dat moet worden overgeslagen. Het duplicaat
De vergelijkingstest stopt wanneer de relatieve aankomsttijd van het huidige pakket groter is dan
.

De is gespecificeerd als seconden[.fractioneel seconden].

De component [.fractionele seconden] kan worden gespecificeerd tot op negen (9) decimalen
(miljardsten van een seconde), maar de meeste typische traceerbestanden hebben een resolutie van zes (6)
decimalen (miljoenste van een seconde).

OPMERKING: Geef groot op waarden met grote tracebestanden kunnen resulteren in
zeer lange verwerkingstijden voor bewerkingskap.

Merk op -w optie gaat ervan uit dat de pakketten in chronologische volgorde staan. Als de
pakketten zijn NIET in chronologische volgorde dan de -w optie voor het verwijderen van duplicatie mogelijk niet
enkele duplicaten identificeren.

Voorbeelden

Voor een meer gedetailleerde beschrijving van de opties gebruikt u:

editcap -h

Om het opnamebestand te verkleinen door de pakketten af ​​te kappen op 64 bytes en het te schrijven als Sun
Snoop-bestand gebruik:

editcap -s 64 -F snoop capture.pcap shortcapture.snoop

Om pakket 1000 uit het opnamebestand te verwijderen, gebruikt u:

editcap capture.pcap sans1000.pcap 1000

Om een ​​vastlegbestand te beperken tot pakketten van nummer 200 tot en met 750 (inclusief):

editcap -r vastleggen.pcap klein.pcap 200-750

Om alle pakketten van nummer 1-500 (inclusief) te krijgen, gebruikt u:

editcap -r capture.pcap first500.pcap 1-500

or

editcap capture.pcap first500.pcap 501-9999999

Om pakketten 1, 5, 10 tot 20 en 30 tot 40 uit te sluiten van het nieuwe bestand, gebruikt u:

editcap capture.pcap uitsluiting.pcap 1 5 10-20 30-40

Om alleen pakketten 1, 5, 10 tot 20 en 30 tot 40 te selecteren voor het nieuwe bestand, gebruikt u:

editcap -r vastleggen.pcap selecteren.pcap 1 5 10-20 30-40

Om dubbele pakketten te verwijderen die in de voorgaande vier frames zijn gezien, gebruikt u:

editcap -d capture.pcap dedup.pcap

Om dubbele pakketten te verwijderen die binnen de voorafgaande 100 frames zijn gezien, gebruikt u:

editcap -D 101 capture.pcap dedup.pcap

Om dubbele geziene pakketten te verwijderen gelijk naar or minder neem contact 1/10e van een seconde:

editcap -w 0.1 capture.pcap dedup.pcap

Om de MD5-hash voor alle pakketten weer te geven (en GEEN echt uitvoerbestand te genereren):

editcap -v -D 0 vastleggen.pcap /dev/null

of op Windows-systemen

editcap -v -D 0 vastleggen.pcap NUL

Om de tijdstempels van elk pakket met 3.0827 seconden vooruit te zetten:

editcap -t 3.0827 capture.pcap aangepast.pcap

Om ervoor te zorgen dat alle tijdstempels in strikt chronologische volgorde staan:

editcap -S 0 capture.pcap aangepast.pcap

Om 5% willekeurige fouten in een vastlegbestand te introduceren, gebruikt u:

editcap -E 0.05 capture.pcap capture_error.pcap

Om vlan-tags te verwijderen uit alle pakketten binnen een in Ethernet ingekapseld opnamebestand, gebruikt u:

editcap -L -C 12:4 capture_vlan.pcap capture_no_vlan.pcap

Om zowel de 10 byte als de 20 byte regio's uit het volgende 75 byte pakket in één keer te hakken
slagen, gebruik dan een van de 8 mogelijke methoden hieronder:

<------------------------- 75 -------------------- ------->

+---+-------+-----------+---------------+--------- ----------+
| 5 | 10 | 15 | 20 | 25 |
+---+-------+-----------+---------------+--------- ----------+

1) editcap -C 5:10 -C -25:-20 capture.pcap gehakt.pcap
2) editcap -C 5:10 -C 50:-20 capture.pcap gehakt.pcap
3) editcap -C -70:10 -C -25:-20 capture.pcap gehakt.pcap
4) editcap -C -70:10 -C 50:-20 capture.pcap gehakt.pcap
5) editcap -C 30:20 -C -60:-10 capture.pcap gehakt.pcap
6) editcap -C 30:20 -C 15:-10 capture.pcap gehakt.pcap
7) editcap -C -45:20 -C -60:-10 capture.pcap gehakt.pcap
8) editcap -C -45:20 -C 15:-10 capture.pcap gehakt.pcap

Om commentaartekenreeksen aan de eerste twee invoerframes toe te voegen, gebruikt u:

editcap -a "1:1e frame" -a 2:Tweede capture.pcap capture-comments.pcap

Gebruik editcap online met behulp van onworks.net-services