以前整理的一些东西,拿出来做备忘
PCAP 报文就是抓取实际在网络中传输的图片,视频等数据,然后以PCAP 格式存储形成的文件。工作中对离线的数据包进行回溯分析,有时会遇到将 PCAP 中的码流还原成相应的图片、视频、邮件等原有格式的需求。
从流量中取证文件大部分情况下是为了提取流量中的可执行程序。
查看帮助:
root@kali:~# tcpxtract -h
Usage: tcpxtract [OPTIONS] [[-d ] [-f ]]
Valid options include:
--file, -f to specify an input capture file instead of a device 指定输入捕获文件
--device, -d to specify an input device (i.e. eth0) 指定输入设备(即eth0)
--config, -c use FILE as the config file 使用FILE作为配置文件
--output, -o dump files to DIRECTORY instead of current directory 将文件转储
--version, -v display the version number of this program
--help, -h display this lovely screen
查看要恢复的文件:
tcpxtract -f evidence01.pcap
查看恢复后的文件
打开文件:
leafpad 00000042.html
打开 PCAP 文件
查看提取出来的文件
3、wireshark 还原文件
查看帮助
root@kali:~# wireshark -h<