从捕获的数据包中删除尾部时间戳

Question

我有一个通过特殊交换机捕获的数据包，该交换机在 FCS 之前附加时间戳。这些通常被称为“预告片时间戳”。

然而，这样做后，数据包末尾的FCS并未更新。因此，当我将数据包捕获加载到wireshark中时，所有数据包都被报告为具有不正确的帧检查序列。

是否有像 editcap 等这样的实用程序，我可以用它来从 pcap 中删除每个数据包的最后 x 字节？

Answer 1

是的，editcap 可以删除每个数据包的最后 x 字节。从 editcap 手册页：

-C [offset:]<choplen>

    Sets the chop length to use when writing the packet data. Each packet is 
    chopped by <choplen> bytes of data. Positive values chop at the packet
    beginning while negative values chop at the packet end.

< strong>示例：删除每个数据包的最后 4 个字节

editcap.exe -C -4 foo.pcap foo_chopped.pcap

当然，这样做将导致每个数据包都显示为：

[Packet size limited during capture: Ethertype truncated]

...这当然是一个误导性消息，因为 Ethertype 没有被截断，只是作为 FCS 的以太网帧在这种情况下已被删除。尽管如此，这是一个相当无害的指示，因此该解决方案可能适合您的需求。

或者，您可以更简单地禁用以太网校验和验证。通过 Edit -> 执行此操作首选项->协议 ->以太网->如果可能，验证以太网校验和：取消选择 ->好的。

Answer 2

请在 Wireshark 问题列表;专门处理带有捕获开关拖车的帧可能是有意义的。

Answer 3

我使用 https://github.com/seladb/PcapPlusPlus 编写了自己的应用程序

基本上你可以使用 pcapplusplus并迭代每个 RawPacket 并执行类似的操作

rawPacket.removeData(rawPacket.getRawDataLen() - FCS_LEN - bytesToRemove, bytesToRemove);