editcap - Online în cloud

PROGRAM:

NUME

editcap - Editați și/sau traduceți formatul fișierelor de captură

REZUMAT

editcap [ -a ] [ -A ] [ -B ]
[ -c ] [ -C [decalaj:] ] [ -E ]
[ -F ] [ -h ] [ -i ] [ -o ] [ -L ] [ -r ]
[ -s ] [ -S ] [ -t ]
[ -T ] [ -v ] infile outfile [ pachet#[-pachet#] ... ]

editcap -d | -D | -w [ -v ] [ -I ]
infile outfile

editcap [ -V ]

DESCRIERE

Editcap este un program care citește unele sau toate pachetele capturate din infile,
opțional le convertește în diferite moduri și scrie pachetele rezultate în captură
outfile (sau outfiles).

În mod implicit, citește toate pachetele din infile și le scrie către outfile în pcap
tipul fisierului.

O listă opțională de numere de pachete poate fi specificată pe coada comenzii; pachet individual
numerele separate prin spații albe și/sau intervale de numere de pachete pot fi specificate ca
Începe-capăt, referindu-se la toate pachetele din Începe la capăt. În mod implicit, pachetele selectate
cu acele numere vor nu să fie scris în fișierul de captură. Dacă -r este specificat steag,
selecția întregului pachet este inversată; în acest caz afară pachetele selectate vor fi
scris în fișierul de captură.

Editcap poate fi folosit și pentru a elimina pachetele duplicate. Mai multe opțiuni diferite (-d, -D
și -w) sunt utilizate pentru a controla fereastra de pachete sau fereastra de timp relativă pentru care se va utiliza
comparație duplicată.

Editcap poate fi folosit pentru a atribui șiruri de comentarii numerelor de cadre.

Editcap este capabil să detecteze, să citească și să scrie aceleași fișiere de captură care sunt acceptate de
Wireshark. Fișierul de intrare nu are nevoie de o extensie specifică de nume de fișier; formatul de fișier și
va fi detectată automat o compresie gzip opțională. Aproape de începutul
secțiunea DESCRIERE a Wireshark(1) sau
este o descriere detaliată a
mod Wireshark se ocupă de asta, care este în același mod Editcap se ocupă de asta.

Editcap poate scrie fișierul în mai multe formate de ieșire. The -F flag poate fi folosit pentru a specifica
formatul în care să scrieți fișierul de captură; editcap -F oferă o listă a celor disponibile
formate de ieșire.

OPŢIUNI

-A
Pentru numărul de cadru specificat, atribuiți șirul de comentarii dat. Se poate repeta pt
mai multe cadre. Citatele trebuie folosite cu șiruri de comentarii care includ spații.

-A
Salvează numai pachetele al căror marcaj temporal este activat sau după ora de pornire. Timpul este dat
în următorul format AAAA-LL-ZZ HH:LL:SS

-B
Salvează numai pachetele al căror marcaj temporal este înainte de ora de oprire. Ora este dată în
următorul format AAAA-LL-ZZ HH:LL:SS

-c
Împarte ieșirea pachetului în fișiere diferite pe baza numărului uniform de pachete cu a
maxim de fiecare. Fiecare fișier de ieșire va fi creat cu un sufix
-nnnnn, începând cu 00000. Dacă numărul specificat de pachete este scris în
fișier de ieșire, următorul fișier de ieșire este deschis. Implicit este utilizarea unei singure ieșiri
fișier.

-C [offset:]
Setează lungimea de tăiere de utilizată la scrierea pachetului de date. Fiecare pachet este tocat
octeți de date. Valorile pozitive se taie la începutul pachetului în timp ce negative
valorile tăiate la sfârșitul pachetului.

Dacă un offset opțional precede , apoi octeții tăiați vor fi compensați
din acea valoare. Decalajele pozitive sunt de la începutul pachetului, în timp ce negative
decalajele sunt de la sfârșitul pachetului.

Acest lucru este util pentru tăierea anteturilor pentru decapsularea unei întregi capturi, eliminarea
tunelarea antetelor, sau în cazul rar în care conversia între două formate de fișiere
lasă niște octeți aleatori la sfârșitul fiecărui pachet. O altă utilizare este pentru a elimina vlan
tag-uri.

NOTĂ: Această opțiune poate fi folosită de mai multe ori, permițându-vă efectiv să tăiați octeți
din până la două zone diferite ale unui pachet într-o singură trecere, cu condiția să specificați
cel puțin o lungime de tăiere ca valoare pozitivă și cel puțin una ca valoare negativă.
Toate lungimile de tăiere pozitive sunt adăugate împreună, la fel ca toate lungimile de tăiere negative.

-d Încercarea de a elimina pachetele duplicate. Lungimea și hash MD5 ale pachetului curent
sunt comparate cu cele patru (4) pachete anterioare. Dacă se găsește o potrivire, curentul
pachetul este omis. Această opțiune este echivalentă cu utilizarea opțiunii -D 5.

-D
Încercări de eliminare a pachetelor duplicate. Lungimea și hash MD5 ale pachetului curent
sunt comparate cu precedentele - 1 pachete. Dacă se găsește o potrivire,
pachetul curent este omis.

Utilizarea opțiunii -D 0 combinate cu -v opțiunea este utilă prin faptul că fiecare pachet
Numărul pachetului, Len și MD5 Hash vor fi tipărite standard. Această ieșire verbosă
(în special șirurile hash MD5) pot fi utile în scripturi pentru a identifica duplicatele
pachete în fișierele de urmărire.

The este specificată ca valoare întreagă între 0 și 1000000 (inclusiv).

NOTĂ: Specificarea mare valorile cu urme mari pot avea ca rezultat foarte
timpi lungi de procesare pt editcap.

-E
Setează probabilitatea ca octeții din fișierul de ieșire să fie modificați aleatoriu. Editcap utilizări
acea probabilitate (între 0.0 și 1.0 inclusiv) de a aplica erori fiecărui octet de date din
fișierul. De exemplu, o probabilitate de 0.02 înseamnă că fiecare octet are o șansă de 2%.
avand o eroare.

Această opțiune este menită să fie utilizată pentru disectoarele de protocol de testare fuzz.

-F
Setează formatul de fișier al fișierului de captură de ieșire. Editcap poate scrie fișierul în
mai multe formate, editcap -F oferă o listă a formatelor de ieșire disponibile. The
implicit este pcap format.

-h Tipărește versiunea și opțiunile și iese.

-i
Împarte ieșirea pachetului în fișiere diferite pe baza intervalelor de timp uniforme folosind a
interval maxim de fiecare. Fiecare fișier de ieșire va fi creat cu a
sufixul -nnnnn, începând cu 00000. Dacă pachetele pentru intervalul de timp specificat sunt
scris în fișierul de ieșire, următorul fișier de ieșire este deschis. Implicit este utilizarea a
un singur fișier de ieșire.

-Eu
Ignorați numărul de octeți specificat la începutul cadrului în timpul hash-ului MD5
calcul Util pentru a elimina pachetele duplicate preluate pe mai multe routere (diferite
adresele mac de exemplu) de exemplu -I 26 în cazul Ether/IP/ va ignora eter(14) și
Antet IP(20 - 4(src ip) - 4(dst ip)). Valoarea implicită este 0.

-L Reglați lungimea inițială a cadrului în consecință atunci când tăiați și/sau rupeți (in
în plus față de lungimea capturată, care este întotdeauna ajustată indiferent dacă -L is
specificat sau nu). Vezi si -C <choplen> și -s <snaplen>.

-o
Când este folosit împreună cu -E, săriți câțiva octeți de la începutul pachetului de la
fiind schimbată. În acest fel, unele anteturi nu se schimbă, iar fuzzer-ul este mai mult
concentrat pe o parte mai mică a pachetului. Păstrarea unei părți a pachetului la fel
este declanșat disectorul, ceea ce face fuzzing-ul mai precis.

-r Inversați selecția pachetului. Determină pachetele ale căror numere de pachete sunt specificate
pe linia de comandă pentru a fi scris în fișierul de captură de ieșire, în loc să fie aruncat
Le.

-s
Setează lungimea instantaneului de utilizat la scrierea datelor. Dacă -s steag este folosit pentru
specificați lungimea unui instantaneu, pachete în fișierul de intrare cu mai multe date capturate decât
lungimea specificată a instantaneului va avea doar cantitatea de date specificată de instantaneu
lungimea scrisă în fișierul de ieșire.

Acest lucru poate fi util dacă programul care urmează să citească fișierul de ieșire nu se poate descurca
pachete mai mari decât o anumită dimensiune (de exemplu, versiunile de snoop din Solaris
2.5.1 și Solaris 2.6 par să respingă pachetele Ethernet mai mari decât standardul
Ethernet MTU, făcându-i incapabili să gestioneze capturi gigabit Ethernet dacă sunt jumbo
au fost folosite pachete).

-S
Ajustați timpul pachetelor selectate pentru a asigura ordinea cronologică strictă.

The valoarea reprezintă secundele relative specificate ca
[-]secunde[.fracţional secunde].

Pe măsură ce fișierul de captură este procesat, timpul absolut al fiecărui pachet este eventual ajustat la
să fie egală sau mai mare decât marcajul temporal absolut al pachetului anterior, în funcție de
valoare.

Dacă atunci valoarea este 0 sau mai mare (de ex. 0.000001). afară pachete
cu un marcaj de timp mai mic decât pachetul anterior va fi ajustat. Marca temporală ajustată
valoarea va fi setată să fie egală cu valoarea marcajului de timp a pachetului anterior plus
valoarea a valoare. A valoare de 0
va ajusta numărul minim de valori de marcaj temporal necesar pentru a se asigura că
fișierul de captură rezultat este în ordine cronologică strictă.

Dacă valoarea este specificată ca valoare negativă, apoi marca temporală
valori ale toate pachetele vor fi ajustate pentru a fi egale cu valoarea timestamp-ului
pachetul anterior plus valoarea absolută a ajustare strictă a timpului valoare. A
valoarea -0 va avea ca rezultat toate pachetele cu marca temporală
valoarea primului pachet.

Această caracteristică este utilă atunci când fișierul de urmărire are un pachet ocazional cu un negativ
timpul delta față de pachetul anterior.

-t
Setează ajustarea timpului de utilizat pentru pachetele selectate. Dacă -t steag este folosit pentru
specificați o ajustare de timp, ajustarea specificată va fi aplicată tuturor celor selectate
pachetele din fișierul de captură. Ajustarea este specificată ca [-]secunde[.fracţional
secunde]. De exemplu, -t 3600 avansează marcajul de timp pentru pachetele selectate cu o oră
în timp ce -t -0.5 reduce marcajul de timp pentru pachetele selectate cu o jumătate de secundă.

Această caracteristică este utilă atunci când sincronizați depozitele colectate pe diferite mașini în care
diferența de timp dintre cele două mașini este cunoscută sau poate fi estimată.

-T
Setează tipul de încapsulare a pachetului al fișierului de captură de ieșire. Dacă -T este folosit steag
pentru a specifica un tip de încapsulare, tipul de încapsulare al fișierului de captură de ieșire
va fi forțat la tipul specificat. editcap -T oferă o listă a celor disponibile
tipuri. Tipul implicit este cel adecvat tipului de încapsulare al intrării
fișier de captură.

Notă: acest lucru forțează doar ca tipul de încapsulare al fișierului de ieșire să fie specificat
tip; antetele pachetelor nu vor fi traduse din încapsulare
tipul fișierului de captură de intrare la tipul de încapsulare specificat (de exemplu, it
nu va traduce o captură Ethernet într-o captură FDDI dacă o captură Ethernet este
Citeste si '-T fddi' este specificat). Dacă trebuie să eliminați/adăugați anteturi de la/la un pachet,
vei avea nevoie od(1) /text2pcap(1).

-v Cauze editcap pentru a imprima mesaje detaliate în timp ce funcționează.

Utilizarea de -v cu comutatoarele de deduplicare ale -d, -D or -w va provoca toate hashe-urile MD5
să fie tipărit indiferent dacă pachetul este sărit sau nu.

-V Imprimați versiunea și ieșiți.

-w
Încercări de eliminare a pachetelor duplicate. Se compară ora de sosire a pachetului curent
cu până la 1000000 de pachete anterioare. Dacă ora relativă de sosire a pachetului este mai puțin
decât or egal la cel a unui pachet anterior și lungimea pachetului și
Hash-ul MD5 al pachetului curent este același cu pachetul de ignorat. Duplicatul
testul de comparație se oprește atunci când timpul relativ de sosire a pachetului curent este mai mare decât
.

The este specificat ca secunde[.fracţional secunde].

Componenta [.fractional seconds] poate fi specificată cu nouă (9) zecimale
(miliarde de secundă), dar majoritatea fișierelor de urmărire tipice au o rezoluție de șase (6)
zecimale (milioane de secundă).

NOTĂ: Specificarea mare valorile cu fișiere de urme mari pot avea ca rezultat
timpi foarte mari de procesare pt editcap.

NOTĂ: -w opțiunea presupune că pachetele sunt în ordine cronologică. Dacă
pachetele NU sunt în ordine cronologică, apoi -w opțiunea de eliminare a duplicării nu poate
identifica unele duplicate.

EXEMPLE

Pentru a vedea o descriere mai detaliată a opțiunilor, utilizați:

editcap -h

Pentru a micșora fișierul de captură prin trunchierea pachetelor la 64 de octeți și scriindu-l ca Sun
utilizarea fișierului snoop:

editcap -s 64 -F snoop capture.pcap shortcapture.snoop

Pentru a șterge pachetul 1000 din fișierul de captură, utilizați:

editcap capture.pcap sans1000.pcap 1000

Pentru a limita un fișier de captură la pachete de la numărul 200 la 750 (inclusiv), utilizați:

editcap -r capture.pcap small.pcap 200-750

Pentru a obține toate pachetele de la numărul 1-500 (inclusiv) utilizați:

editcap -r capture.pcap first500.pcap 1-500

or

editcap capture.pcap first500.pcap 501-9999999

Pentru a exclude pachetele 1, 5, 10 până la 20 și 30 până la 40 din noul fișier, utilizați:

editcap capture.pcap exclude.pcap 1 5 10-20 30-40

Pentru a selecta doar pachetele 1, 5, 10 la 20 și 30 la 40 pentru noul fișier, utilizați:

editcap -r capture.pcap select.pcap 1 5 10-20 30-40

Pentru a elimina pachetele duplicate văzute în cele patru cadre anterioare, utilizați:

editcap -d capture.pcap dedup.pcap

Pentru a elimina pachetele duplicate văzute în cele 100 de cadre anterioare, utilizați:

editcap -D 101 capture.pcap dedup.pcap

Pentru a elimina pachetele duplicate văzute egal la or mai puțin decât 1/10 de secundă:

editcap -w 0.1 capture.pcap dedup.pcap

Pentru a afișa hash-ul MD5 pentru toate pachetele (și NU genera niciun fișier de ieșire real):

editcap -v -D 0 capture.pcap /dev/null

sau pe sisteme Windows

editcap -v -D 0 capture.pcap NUL

Pentru a avansa marcajele de timp ale fiecărui pachet cu 3.0827 secunde:

editcap -t 3.0827 capture.pcap ajustat.pcap

Pentru a vă asigura că toate marcajele de timp sunt în ordine cronologică strictă:

editcap -S 0 capture.pcap ajustat.pcap

Pentru a introduce erori aleatoare de 5% într-un fișier de captură, utilizați:

editcap -E 0.05 capture.pcap capture_error.pcap

Pentru a elimina etichetele vlan din toate pachetele dintr-un fișier de captură încapsulat în Ethernet, utilizați:

editcap -L -C 12:4 capture_vlan.pcap capture_no_vlan.pcap

Pentru a tăia ambele regiuni de 10 octeți și 20 de octeți din următorul pachet de 75 de octeți într-un singur
trece, folosește oricare dintre cele 8 metode posibile prezentate mai jos:

<--------------------------- 75 --------------------- ------->

+---+-------+-----------+---------------+--------- ----------+
| 5 | 10 ​​| 15 | 20 | 25 |
+---+-------+-----------+---------------+--------- ----------+

1) editcap -C 5:10 -C -25:-20 capture.pcap chopped.pcap
2) editcap -C 5:10 -C 50:-20 capture.pcap chopped.pcap
3) editcap -C -70:10 -C -25:-20 capture.pcap chopped.pcap
4) editcap -C -70:10 -C 50:-20 capture.pcap chopped.pcap
5) editcap -C 30:20 -C -60:-10 capture.pcap chopped.pcap
6) editcap -C 30:20 -C 15:-10 capture.pcap chopped.pcap
7) editcap -C -45:20 -C -60:-10 capture.pcap chopped.pcap
8) editcap -C -45:20 -C 15:-10 capture.pcap chopped.pcap

Pentru a adăuga șiruri de comentarii la primele 2 cadre de intrare, utilizați:

editcap -a „1:1 cadru” -a 2:Second capture.pcap capture-comments.pcap

Utilizați editcap online folosind serviciile onworks.net