SplitCap切分pcap包

SplitCap下载

SplitCap 是一款免费工具，旨在根据 IP 地址、5 元组或 MAC 地址等标准将捕获文件（PCAP 文件）拆分为较小的文件。下载地址：SplitCap

Windows下使用

下载完SplitCap后，可以在windows终端中直接使用，常用选项如下：

-r #指定输入文件（*.pcap）
-o #指定切分后输出目录
-s #指定切分模式，如下
  bssid : Traffic grouped based on WLAN BSSID
  flow : Each flow, i.e. unidirectional traffic for a 5-tuple, is grouped
  host : Traffic grouped to one file per host. Most packets will end up in two files.
  hostpair : Traffic grouped based on host-pairs communicating
  mac : Traffic grouped to one file per MAC address. Most packets will end up in two files.
  nosplit : Do not split traffic. Only create ONE output pcap.
  (default) session : Packets for each session (bi-directional flow) are grouped
  seconds <s> : Split on time, new file after <s> seconds.
  packets <c> : Split on packet count, new file after <c> packets.
-ip #指定IP过滤条件
-port #指定端口过滤条件
-y #指定输出文件形式
  L7 #仅保存应用层数据
  (default) pcap #默认保留所有数据

官方示例如下：

Example 1: SplitCap.exe -r dumpfile.pcap
Example 2: SplitCap.exe -r dumpfile.pcap -o session_directory
Example 3: SplitCap.exe -r dumpfile.pcap -s hostpair
Example 4: SplitCap.exe -r dumpfile.pcap -s flow -y L7
Example 5: SplitCap.exe -r dumpfile.pcap -s seconds 3600
Example 6: SplitCap.exe -r dumpfile.pcap -ip 1.2.3.4 -port 80 -port 443 -s nosplit
Example 7: SplitCap.exe -r C:\pcaps\ -recursive -s host -port 53 -o DNS_dir

Mac下使用

Mac下需要借助Mono搭配使用，下载地址：Mono

没有Visual Studio使用需求的话，推荐选择红框版本下载；
一路点击下一步即可安装完成，安装完的文件位置在：

/Library/Frameworks/Mono.framework

推荐加入环境变量以便全局使用Mono命令：

vim .zshrc
将以下命令加入：
export PATH="/Library/Frameworks/Mono.framework/Versions/Current/bin:$PATH"

之后运行和windows类似，只不过需要在之前加上 mono，例如：

mono SplitCap.exe -r dumpfile.pcap
#需要先 cd 到 SplitCap.exe 所在目录

linux下使用

同Mac，需要先安装Mono
以Ubuntu为例：

sudo apt install gnupg ca-certificates
sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv-keys 3FA7E0328081BFF6A14DA29AA6A19B38D3D831EF
echo "deb https://download.mono-project.com/repo/ubuntu stable-focal main" | sudo tee /etc/apt/sources.list.d/mono-official-stable.list
sudo apt update
sudo apt install mono-devel

安装完测试下是否可用：

vim hello.cs
#输入以下内容并保存退出
using System;

public class HelloWorld
{
    public static void Main(string[] args)
    {
        Console.WriteLine ("Hello Mono World");
    }
}

然后执行csc hello.cs 进行编译，如果成功会在当前目录下生成hello.exe文件，然后只执行mono hello.exe：

Hello Mono World

出现该信息即可安装成功；
使用方式同Mac下