Làm cách nào để chuyển đổi tập tin chụp wireshark thành tập tin văn bản?

9

Làm cách nào tôi có thể chuyển đổi các tập tin chụp ảnh (.cap) thành tập tin văn bản hoặc một số định dạng để tôi có thể đọc tệp và phân tích nội dung của nó?

Trân trọng, Mithun

command-line-interface wireshark

— Vidya
nguồn

10

Mở Wireshark, chọn tệp .cap của bạn, rồi đi đến Tệp-> Xuất và chọn các tùy chọn mà bạn muốn.

Vì vậy, nếu bạn cần làm điều đó từ dòng lệnh, hãy sử dụng tshark.exe, như sau.

>tshark -i - < "c:\filename.cap" > "c:\output.txt

Nếu bạn muốn ghi dạng gói được giải mã vào một tệp, hãy chạy TShark mà không có tùy chọn -w và chuyển hướng đầu ra tiêu chuẩn của nó sang tệp (không sử dụng tùy chọn -w).

— mfinni
nguồn

File-> Save As cũng có nhiều định dạng.

— David

@David - không ai trong số chúng có thể đọc được, tất cả chúng đều được sử dụng cho các máy phân tích lưu lượng khác. "Xuất khẩu" là tệp giúp bạn có các tệp văn bản thân thiện hoặc các thứ có cấu trúc như PS, CSV, v.v.

— mfinni

tôi xin lỗi tôi quên đề cập đến. Tôi muốn chuyển đổi nó bằng cách sử dụng một số dòng lệnh?

— Vidya

OK, chỉnh sửa câu trả lời của tôi để bao gồm các tùy chọn dòng lệnh. @Davey, bên dưới, cũng đăng một câu trả lời hay bằng cách sử dụng một công cụ bổ sung mà bạn có thể có hoặc không có, tcpdump.

— mfinni

7

Tùy chọn -A của tcpdump in từng gói trong ASCII có thể đọc được của con người và vui vẻ xử lý các tệp wireshark và bạn có thể thực hiện tất cả từ dòng lệnh:

tcpdump -A -r stackoverflow.cap > stackoverflow.txt

Đầu ra trông như sau:

9:22:33.664874 IP 192.168.1.11.33874 > stackoverflow.com.www: Flags [P.], seq 1117095075:1117095829, ack 3371415182, win 9648, options [nop,nop,TS val 9533909 ecr 313735664], length 754
E..&..@.@../....E;...R.PB.........%........
..y...9.GET / HTTP/1.1
Host: serverfault.com
Connection: keep-alive
User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US) AppleWebKit/533.4 (KHTML, like Gecko) Chrome/5.0.375.70 Safari/533.4
Accept: application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.3
Cookie: __qca=P0-141773580-1259521886021; __utmz=81883924.1275328201.133.5.utmcsr=google|utmccn=(organic)|utmcmd=organic|utmctr=hudson%20build%20dir; usr=t=kXSBoIG5Jk6S&s=wGmaIuhAD0eH; __utma=81883924.2034104685.1272993451.1276186265.1276193655.189; __utmc=81883924; __utmb=81883924.6.10.1276193655
If-Modified-Since: Thu, 10 Jun 2010 10:17:12 GMT

— khéo léo
nguồn

Giả sử anh ta đang chạy trên Unix. Hoặc chạy WinDump hoặc bản sao Windows khác của TCPDump. Vì anh chàng đã đề cập đến Wireshark, tôi đã giới hạn câu trả lời của mình cho các công cụ có trong gói Wireshark.

— mfinni

2

Tôi sử dụng tshark -x -r file.pcapdòng lệnh khi hexdump như đầu ra là tốt cho xử lý bài.

— nik
nguồn

0

Bạn không thể mở wireshark và mở tệp .cap đó, sau đó xuất nó từ menu tệp dưới dạng tệp văn bản? Cố gắng nhớ ra khỏi đỉnh đầu của tôi nhưng tôi nghĩ bạn có thể ...

— Bart Silverstrim
nguồn

tôi xin lỗi tôi quên đề cập đến. Tôi muốn chuyển đổi nó bằng cách sử dụng một số dòng lệnh?

— Vidya