英语法语西班牙语

运行服务器 | Ubuntu > | Fedora > |


OnWorks 网站图标

editcap - 云端在线

通过 Ubuntu Online、Fedora Online、Windows 在线模拟器或 MAC OS 在线模拟器在 OnWorks 免费托管服务提供商中运行 editcap

这是可以使用我们的多个免费在线工作站之一在 OnWorks 免费托管服务提供商中运行的命令 editcap,例如 Ubuntu Online、Fedora Online、Windows 在线模拟器或 MAC OS 在线模拟器

程序:

名称


editcap - 编辑和/或转换捕获文件的格式

概要


编辑帽 [ -a ] [ -A ] [ -B ]
[ -c ] [ -C [抵消:] ] [ -E ]
[ -F ] [ -h [ -i ] [ -o ] [ -L [ -r ]
[ -s ] [ -S ] [ -t ]
[ -T ] [ -v ] 入档 输出文件 [ 包#[-包#] ...]

编辑帽 -d | -D | -w [ -v [ -I ]
入档 输出文件

编辑帽 [ -V ]

商品描述


编辑帽 是一个从数据包中读取部分或全部捕获数据包的程序 入档,
可选地以各种方式转换它们并将结果数据包写入捕获
输出文件 (或输出文件)。

默认情况下,它从 入档 并将它们写入 输出文件 在 pcap
文件格式。

可以在命令尾部指定可选的数据包编号列表; 个人包裹
由空格分隔的数字和/或数据包编号范围可以指定为
开始-结束, 指的是来自的所有数据包 开始结束. 默认选择的数据包
这些数字将 不能 写入捕获文件。 如果 -r 标志被指定,
整个数据包选择被反转; 在这种情况下 仅由 选定的数据包将是
写入捕获文件。

编辑帽 也可以用来删除重复的数据包。 几个不同的选项(-d, -D
-w) 用于控制要用于的数据包窗口或相对时间窗口
重复比较。

编辑帽 可用于将注释字符串分配给帧编号。

编辑帽 能够检测、读取和写入所支持的相同捕获文件
Wireshark的. 输入文件不需要特定的文件扩展名; 文件格式和
将自动检测可选的 gzip 压缩。 接近开始的时候
说明部分 Wireshark的(1)或
是对
方式 Wireshark的 处理这个,这是相同的方式 编辑帽 处理这个。

编辑帽 可以以多种输出格式写入文件。 这 -F 标志可用于指定
写入捕获文件的格式; 编辑帽 -F 提供可用的列表
输出格式。

配置


-一种
对于特定的帧编号,分配给定的注释字符串。 可以重复为
多帧。 引号应与包含空格的注释字符串一起使用。

-一种
仅保存时间戳在开始时间或之后的数据包。 时间给了
采用以下格式 YYYY-MM-DD HH:MM:SS

-B
只保存时间戳在停止时间之前的数据包。 时间在
以下格式 YYYY-MM-DD HH:MM:SS

-C
根据统一的数据包计数将数据包输出拆分为不同的文件
最多每个。 每个输出文件都将创建一个后缀
-nnnnn,以00000开头。如果写入指定数量的数据包
输出文件,打开下一个输出文件。 默认是使用单个输出
文件中。

-C [偏移:]
设置写入数据包数据时使用的斩波长度。 每个包被切碎
字节数据。 正值在数据包开始时斩波,而负值
值在数据包末端被砍掉。

如果一个可选的偏移量在,那么切碎的字节将被抵消
从那个值。 正偏移从数据包开始,而负偏移
偏移量来自数据包末端。

这对于截断标题以对整个捕获进行解封装很有用,删除
隧道标头,或者在极少数情况下两种文件格式之间的转换
在每个数据包的末尾留下一些随机字节。 另一个用途是删除 vlan
标签。

注意:此选项可以多次使用,有效地允许您截断字节
一次通过最多两个不同的数据包区域,只要您指定
至少一个截断长度为正值,至少一个截断长度为负值。
所有正斩波长度加在一起,所有负斩波长度也是如此。

-d 尝试删除重复的数据包。 当前数据包的长度和 MD5 哈希值
与前四 (4) 个数据包进行比较。 如果找到匹配项,则当前
数据包被跳过。 这个选项相当于使用选项 -D 5.

-D
尝试删除重复的数据包。 当前数据包的长度和 MD5 哈希值
与之前相比- 1 包。 如果找到匹配项,则
当前数据包被跳过。

选项的使用 -D 0 结合 -v 选项很有用,因为每个数据包的
包号、Len 和 MD5 Hash 将打印到标准输出。 这个详细的输出
(特别是 MD5 哈希字符串)在脚本中可用于识别重复项
跨跟踪文件的数据包。

这指定为 0 到 1000000(含)之间的整数值。

注意:指定大具有大跟踪文件的值可能会导致非常
处理时间长 编辑帽.

-E
设置输出文件中的字节随机更改的概率。 编辑帽 使用
将错误应用于每个数据字节的概率(在 0.0 和 1.0 之间,含)
文件。 例如,0.02 的概率意味着每个字节有 2% 的机会
有错误。

此选项旨在用于模糊测试协议解剖器。

-F
设置输出捕获文件的文件格式。 编辑帽 可以将文件写入
几种格式, 编辑帽 -F 提供可用输出格式的列表。 这
默认是 电容 格式。

-h 打印版本和选项并退出。

-一世
使用统一的时间间隔将数据包输出拆分为不同的文件
最大间隔每个。 每个输出文件都将创建一个
后缀 -nnnnn,以 00000 开头。如果指定时间间隔的数据包是
写入输出文件,打开下一个输出文件。 默认是使用一个
单个输出文件。

-一世
在 MD5 哈希期间忽略帧开头的指定字节数
计算 用于删除多个路由器上的重复数据包(不同
例如 mac 地址)例如 -I 26 在 Ether/IP/ 的情况下将忽略 (14)和
IP 标头 (20 - 4(src ip) - 4(dst ip))。 默认值为 0。

-L 在切碎和/或捕捉时相应地调整原始帧长度(在
除了捕获的长度,它总是被调整,无论是否 -L is
指定与否)。 也可以看看 -C <choplen>和 -s <snaplen>.

-o
当与 -E 结合使用时,从数据包的开头跳过一些字节
正在改变。 通过这种方式,一些标题不会被更改,并且模糊器更多
专注于数据包的一小部分。 保持数据包的一部分固定不变
触发解剖器,使模糊测试更加精确。

-r 反转数据包选择。 导致指定包号的包
在命令行上写入输出捕获文件,而不是丢弃
他们。

-s
设置写入数据时使用的快照长度。 如果 -s 标志用于
指定快照长度,输入文件中的数据包比捕获的数据多
指定的快照长度将只有快照指定的数据量
写入输出文件的长度。

如果要读取输出文件的程序无法处理,这可能很有用
大于一定大小的数据包(例如,Solaris 中的 snoop 版本
2.5.1 和 Solaris 2.6 似乎拒绝大于标准的以太网数据包
以太网 MTU,使它们无法处理巨型以太网捕获
包被使用)。

-S
时间调整选定的数据包以确保严格的时间顺序。

这值表示指定为的相对秒数
[ - ][.分数 ].

在处理捕获文件时,每个数据包的绝对时间是 或者 调整为
等于或大于前一个数据包的绝对时间戳,具体取决于
价值。

如果值为 0 或更大(例如 0.000001)然后 仅由
时间戳小于前一个数据包的将进行调整。 调整后的时间戳
value 将被设置为等于前一个数据包的时间戳值加上
的价值价值。 一种0 的值
将调整必要的时间戳值的最小数量,以确保
生成的捕获文件严格按时间顺序排列。

如果value 指定为负值,则时间戳
的值 所有 数据包将被调整为等于时间戳值
前一个数据包加上绝对值严格的时间调整价值。 一种
-0 的值将导致所有数据包具有时间戳
第一个数据包的值。

当跟踪文件偶尔有一个带有负数的数据包时,此功能很有用
相对于前一个数据包的增量时间。

-t
设置用于选定数据包的时间调整。 如果 -t 标志用于
指定时间调整,指定的调整将应用于所有选定的
捕获文件中的数据包。 调整指定为 [-][.分数
]。 例如, -t 3600 将所选数据包的时间戳提前一小时
-t -0.5 将选定数据包的时间戳减少半秒。

当同步在不同机器上收集的转储时,此功能很有用
两台机器之间的时间差是已知的或可以估计的。

-T
设置输出抓包文件的包封装类型。 如果 -T 使用标志
指定封装类型,输出捕获文件的封装类型
将被强制为指定类型。 编辑帽 -T 提供可用的列表
类型。 默认类型是适合输入的封装类型
捕获文件。

注意:这只是强制输出文件的封装类型为指定的
类型; 包的包头不会从封装中转换
将输入捕获文件的类型转换为指定的封装类型(例如,它
如果以太网捕获是,则不会将以太网捕获转换为 FDDI 捕获
阅读和 '-T 外国直接投资' 被指定)。 如果您需要从/向数据包删除/添加标头,
你会需要 od(1)/文本2pcap(1)。

-v 原因 编辑帽 在它工作时打印详细的消息。

用于 -v 使用重复数据删除开关 -d, -D or -w 将导致所有 MD5 哈希
无论是否跳过数据包,都要打印。

-V 打印版本并退出。

-w
尝试删除重复的数据包。 比较当前数据包的到达时间
最多 1000000 个以前的数据包。 如果数据包的相对到达时间是
or 等于 这前一个数据包和数据包长度以及
当前数据包的 MD5 哈希值与要跳过的数据包相同。 重复的
当当前数据包的相对到达时间大于
.

这被指定为 [.分数 ].

[.fractional seconds] 组件可以指定为九 (9) 位小数
(十亿分之一秒)但大多数典型的跟踪文件的分辨率为六 (6)
小数位(百万分之一秒)。

注意:指定大具有大跟踪文件的值可能会导致
很长的处理时间 编辑帽.

注意: -w 选项假定数据包按时间顺序排列。 如果
数据包不是按时间顺序排列的 -w 重复删除选项可能不
识别一些重复项。

示例


要查看选项的更详细说明,请使用:

编辑帽 -h

通过将数据包截断为 64 字节并将其写为 Sun 来缩小捕获文件
snoop 文件使用:

editcap -s 64 -F snoop capture.pcap shortcapture.snoop

要从捕获文件中删除数据包 1000,请使用:

编辑cap capture.pcap sans1000.pcap 1000

要将捕获文件限制为从 200 到 750(含)的数据包,请使用:

editcap -r capture.pcap small.pcap 200-750

要获取编号为 1-500(含)的所有数据包,请使用:

editcap -r capture.pcap first500.pcap 1-500

or

编辑cap capture.pcap first500.pcap 501-9999999

要从新文件中排除数据包 1、5、10 到 20 和 30 到 40,请使用:

编辑cap capture.pcap exclude.pcap 1 5 10-20 30-40

要仅为新文件选择数据包 1、5、10 到 20 和 30 到 40,请使用:

editcap -r capture.pcap select.pcap 1 5 10-20 30-40

要删除前四帧中看到的重复数据包,请使用:

editcap -d capture.pcap dedup.pcap

要删除前 100 帧中看到的重复数据包,请使用:

editcap -D 101 capture.pcap dedup.pcap

删除看到的重复数据包 等于 or 1/10 秒:

editcap -w 0.1 capture.pcap dedup.pcap

要显示所有数据包的 MD5 哈希值(而不生成任何实际输出文件):

editcap -v -D 0 capture.pcap /dev/null

或在 Windows 系统上

editcap -v -D 0 capture.pcap NUL

将每个数据包的时间戳向前推进 3.0827 秒:

editcap -t 3.0827 capture.pcap 调整后的.pcap

为确保所有时间戳都严格按时间顺序排列:

editcap -S 0 capture.pcap 调整后的.pcap

要在捕获文件中引入 5% 的随机错误,请使用:

editcap -E 0.05 capture.pcap capture_error.pcap

要从以太网封装的捕获文件中的所有数据包中删除 vlan 标记,请使用:

editcap -L -C 12:4 capture_vlan.pcap capture_no_vlan.pcap

将 10 字节数据包中的 20 字节和 75 字节区域同时切掉
通过,使用下面提供的 8 种可能方法中的任何一种:

<---------------------------- 75 --------------------- ------->

+---+-------+-----------+--------------+--------- ----------+
| 5 | 10 | 15 | 20 | 25 |
+---+-------+-----------+--------------+--------- ----------+

1) editcap -C 5:10 -C -25:-20 capture.pcap 切碎.pcap
2) editcap -C 5:10 -C 50:-20 capture.pcap 切碎.pcap
3) editcap -C -70:10 -C -25:-20 capture.pcap 切碎.pcap
4) editcap -C -70:10 -C 50:-20 capture.pcap 切碎.pcap
5) editcap -C 30:20 -C -60:-10 capture.pcap 切碎.pcap
6) editcap -C 30:20 -C 15:-10 capture.pcap 切碎.pcap
7) editcap -C -45:20 -C -60:-10 capture.pcap 切碎.pcap
8) editcap -C -45:20 -C 15:-10 capture.pcap 切碎.pcap

要将注释字符串添加到前 2 个输入帧,请使用:

editcap -a "1:1st frame" -a 2:Second capture.pcap capture-comments.pcap

使用 onworks.net 服务在线使用 editcap


Ad


Ad