wireshark提取流量包中的文件_流量取证-流量中提取文件

以前整理的一些东西，拿出来做备忘

PCAP 报文就是抓取实际在网络中传输的图片，视频等数据，然后以PCAP 格式存储形成的文件。工作中对离线的数据包进行回溯分析，有时会遇到将 PCAP 中的码流还原成相应的图片、视频、邮件等原有格式的需求。

从流量中取证文件大部分情况下是为了提取流量中的可执行程序。

查看帮助：

root@kali:~# tcpxtract -h

Usage: tcpxtract [OPTIONS] [[-d ] [-f ]]

Valid options include:

--file, -f to specify an input capture file instead of a device 指定输入捕获文件

--device, -d to specify an input device (i.e. eth0) 指定输入设备(即eth0)

--config, -c use FILE as the config file 使用FILE作为配置文件

--output, -o dump files to DIRECTORY instead of current directory 将文件转储

--version, -v display the version number of this program

--help, -h display this lovely screen

查看要恢复的文件：

tcpxtract -f evidence01.pcap

查看恢复后的文件

打开文件：

leafpad 00000042.html

打开 PCAP 文件

查看提取出来的文件

3、wireshark 还原文件

查看帮助

root@kali:~# wireshark -h<