tshark命令提取重要特征将pcap文件格式转存为CSV格式

此操作适用于windows操作系统

从网上下载的数据集太大，解压后的pcap文件使用wireshark打开失败，需要将pcap文件分割，这里需要使用editcap.exe(在wireshark的安装目录下)
editcap分割命令例如：

#按照数据包个数分割，100000表示分割后的每个pcap文件有100000个数据包（数字可调）
editcap.exe -c 100000 D:\123.pacp D:\out_123.pacp

#按照时间分割，60表示60秒
editcap.exe -i 60 D:\123.pcap D:\out_123.pcap

tshark命令提取重要特征将pcap文件格式转存为CSV格式:
1.使用cmd打开命令提示符
2.进入wireshark的安装路径（一般安装了wireshark会顺带安装tshark）
3.例如;从123.pcap文件中提取报文相关数据信息，如时间、源ip、目的ip、协议名、包大小等信息，最后输出到csv文件

tshark.exe -r 123.pacp -T fields -e frame.time_relative -e ip.src -e ip.dst -e ip.proto -e frame.len -E header=y -E separator=, > out123.csv

• -r 123.pcap读取要分析的报文记录文件（pcap）
• -T fields 输出格式，选 fields 按字段，还有其他选项，比如json等其他格式，必须结合-E和-e一起使用
• -e frame.time_relative取出封包的相对时间（并且csv文件将frame.time_relative作为字段名， -e ip.src -e ip.dst -e ip.proto -e frame.len同理）
• -E header输出是否有表头，y表示有表头，n表示没有表头
• -E separator=,以逗号作为分隔符

部分有参考tshark使用示例