利用WireShark将pcap数据流还原图片文件

使用工具： WireShark WinHex

1.打开pcap文件

2. 对数据流进行筛选
利用ctrl+f打开或Edit/编辑查找分组
选择分组字节流、字符串，筛选框输入“jpg"
回车查找，得到筛选后的数据流
3. 追踪流
选择任意结果的一行右键
->追踪流->TCP流

4. 得到结果如图
修改“显示和保存数据为”-——原始数据
另存为
选择路径， 图片后缀名为.jpg
得到的图片但是打不开

5. 打开WinHex
选择文件->打开->选择刚刚保存的jpg文件

因为正常jpg文件是从“FF D8 FF E0 00…”开始的
所以我们将“FF D8 FF E0 00…”前面的数据都删除掉

6. 保存修改后的文件 打开图片

完成