wireshark捕获选项不能用_wireshark文件及数据包操作

概述

在使用wireshark中可能会遇到分割文件、合并文件、导出某个包等各种情景，熟练使用这些操作可以让分析工作事半功倍

文件操作

文件分割

打开分割后的单个文件，可以通过File|File Set|List Files可以看出一共分割了多少文件(目录下必须存在分割后的文件才行)。通过单击分割后的文件可以迅速切换到对应的分割文件。如果使用了显示过滤器，此过滤器会作用到每个打开的文件上。

capinfos 111.pcapng 查看111.pcapng文件基本信息(大小、包数)

editcap -c 1000 111.pcapng aset.pcapng 将111.pcapng分割，每个文件1000个包，包名为aset_xxxxx_yyyymmddhhmmss.pcapng，xxxxx为序号，从0开始，yyyymmddhhmmss为每个文件第1个包时间

editcap -i 360 111.pcapng aset.pcapng 将111.pcapng分割，每个文件360秒的数据

合并数据包

mergecap -w 11.pcapng aset*.* 将所有aset开头的文件合并为11.pcapng

文件注释

注意要添加注释，保存文件格式必须为Wireshark格式的pcapng。

方法1：单击状态栏中"捕获文件属性"按钮，在打开的对话框中输入注释即可。

方法2：通过菜单Statistics|Capture File Properties

数据包操作

导出数据包

导出数据包使用菜单File|Export Specified Packets

在导出对话框中输入文件名并选择Packet Range，点击"保存"即可完成数据包的导出。下面重点说一下Packet Range中的诸多选项。这里只关注Displayed列(即在wireshark的packet list面板中显示的包)。

All packets：一般是使用了过滤器，会将符合过滤条件的所有包导出来。

Selected packet：只导出选中的包，选中包操作与Windows资源管理器类似，使用shift可以选择连续多个包，使用ctrl可以选择不连续的单个包。

Marked packets：导出标记的包(在包上右键|Mark/Unmark Pakcet进行标记或取消标记)

First to last marked：导出第1个(含)及最后一个标记包(含)之间的所有包

Range：导出指定范围的包，可以指定多个范围，多个范围间以逗号隔开，连续范围使用连字符符，示例：1-3,5,7为导出第1、2、3、5、7帧共5个数据包。

Remove Ignored packets：当文件中有忽略的包时(在包上右键|Ignore/Unignore Pakcet进行忽略或取消忽略)此选项可用，勾选上代表不会导出忽略的包。

Compress with gzip：若勾选上此选项，文件将被压缩。若导出文件名为abc，选中压缩选项后，最终文件名为abc.pcapng.gz。

标记数据包

在数据包上右击，在弹出的菜单中执行Mark/Unmark Pakcet进行标记或取消标记

忽略数据包

在数据包上右击，在弹出的菜单中执行Ignore/Unignore Pakcet进行忽略或取消忽略

合并数据包

假如要合并2个数据包a.pcapng、b.pcapng，首先打开a.pcapng，然后执行菜单File|Merge，在打开的对话框中

选择b.pcapng，合并时可以选择Read filter，此filter为合并后使用的显示过滤器，以图中为例，a、b合并后的文件只会出现ip.dst==172.16.139.255的数据包。注意到最下方还有3个选项

Prepend packets to existing file：将b合并到a的前面

Merge packets chronologically：按时间排序

Append packets to existing file：将b合并到a的后面

打印数据包

使用File|Print即可打印。Packet Range使用说明与导出数据包中Packet Range相同。

对于Packet Format说明及对比图如下

包注释

右击要添加注释的包，在菜单中选择Packet Comment，在打开的对话框中输入注释即可。

如何查看包注释(单击可跳转)：

使用pkt_comment可过滤出所有带注释的包。

方法1：单击状态栏中"专家信息"按钮

方法2：通过菜单来打开，"分析"(Analyze)|"专家信息"(Expert Information)

方法3：若将Packet Comments添加到自定义列后，添加注释后，会在Packet Comments列打对号标记，并在包解释区域显示注释内容

方法4：通过捕获文件属性对话框查看(通过状态栏按钮或Statistics|Capture File Properties打开)

导出包注释

方法1：菜单，"文件"(File)|"导出分组解析结果"(Expert Packet Dissections)，选择纯文本格式。实际上是将包信息导出为文件(纯文本/Excel/C数组)，此文件中不仅有注释还有包的数据。不推荐。

方法2：打开捕获文件属性对话框，此对话框中有注释相关信息。可以复制出来。推荐