[pcap1] 文件恢复

学习资料来源：

http://blog.51cto.com/yttitan/1737904

这里记录一下自己觉得重要的过程

首先需要过滤包：http.request.method==POST，因为我们是需要从中恢复出上传的文件

拖动下发现209号包格式不同，且有Upload image，打开分析

在应用层：

在传输层：

这里可以看到，由于文件比较大，所以拆分成了16个帧进行文件传输

于是，可以选择209号包进行TCP流的追踪

这里需要去了解一下jpg的文件格式

这是以Hex转储形式看到的

如果以ASCII的形式会是这样：

可以看到分隔符是两个回车符

分隔符是一个回车符

点击save as：保存为catchme.bin，用winhex打开它，根据刚才说的分隔符修改文件，修改后缀名为jpg，打开：

注意：在保存的时候一定要保存原始数据，不然显示的数据和原始数据不同，保存下来的都是错误的

0D0A0D0A之前的（包括）全部删掉

0D0A之后的（包括）全部删掉

然后保存jpg，打开：