如何连接两个 tcpdump 文件（pcap 文件）

Question

如何连接两个 tcpdump 文件，使一个流量依次出现在文件中？ 具体来说，我想“乘以”一个 tcpdump 文件，以便所有会话将依次重复几次。

Answer 1

mergecap 可以解决您的问题，但您必须将其与“-a”选项一起使用，否则它会暂时对数据包重新排序。 然后：
mergecap -a file_1.pcap file_1.pcap file_1.cap -w output_file.pcap

Answer 2

正如其他答案所说，您可以在 Wireshark、tcpslice 或 mergecap 中使用“文件”->“合并”。 您还可以将文件拖到 Wireshark 的主窗口中。 如果 Wireshark/tcpdump/snort/Ntop/etc 支持 pcap-ng，您就可以简单地连接捕获文件。

Answer 3

Wireshark 有文件 -> 应该执行此操作的合并命令。

我还记得 mergecap 是一个这样做的工具，但我有一段时间没有使用它了。

Answer 4

使用 Wireshark 中的 mergecap：

mergecap ... -w output.cap

Answer 5

要加入多个 pcap，请使用此批处理脚本，

所有 pcap 文件必须位于批处理脚本所在的同一文件夹中，并且当您 dir 目录时，第一个 pcap 文件必须命名为 01.pcap，第二个必须命名为 02.pcap，没有其他局限性。

@echo off
@setlocal enableextensions enabledelayedexpansion

set /a var1=1
set mergecapL="C:\Program Files\Wireshark"

dir /b *.pcap > list.txt
%mergecapL%\mergecap.exe -w %cd%\out%var1%.pcap %cd%\01.pcap %cd%\02.pcap
FOR /F "skip=2 delims=" %%A IN (list.txt) DO (
    set var2=!var1!
    set /a var1+=1
    %mergecapL%\mergecap.exe -w %cd%\out!var1!.pcap %cd%\out!var2!.pcap "%cd%\%%A"
    del out!var2!.pcap
)
del list.txt

Answer 6

尝试 pcapjoiner（商业版，演示版仅限 1000 个数据包）。