Como faço para converter arquivos de captura wireshark em arquivos de texto?

Question

Como posso converter arquivos wirshark captures (.cap) para arquivos de texto ou algum formato do qual eu possa ler o arquivo e analisar seu conteúdo?

Atenciosamente, Mithun

    

Answer 1

Abra o Wireshark, selecione seu arquivo .cap e vá para Arquivo- > Exportar e escolha as opções desejadas.

Portanto, se você precisar fazer isso a partir da linha de comando, use tshark.exe, como segue.

>tshark -i - < "c:\filename.cap" > "c:\output.txt

If you want to write the decoded form of packets to a file, run TShark without the -w option, and redirect its standard output to the file (do not use the -w option).

    

Answer 2

A opção -A do tcpdump imprime cada pacote em ASCII legível e lida com os arquivos wireshark e você pode fazer tudo a partir da linha de comando:

tcpdump -A -r stackoverflow.cap > stackoverflow.txt

A saída é semelhante a:

9:22:33.664874 IP 192.168.1.11.33874 > stackoverflow.com.www: Flags [P.], seq 1117095075:1117095829, ack 3371415182, win 9648, options [nop,nop,TS val 9533909 ecr 313735664], length 754
E..&..@.@../....E;...R.PB.........%........
..y...9.GET / HTTP/1.1
Host: serverfault.com
Connection: keep-alive
User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US) AppleWebKit/533.4 (KHTML, like Gecko) Chrome/5.0.375.70 Safari/533.4
Accept: application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.3
Cookie: __qca=P0-141773580-1259521886021; __utmz=81883924.1275328201.133.5.utmcsr=google|utmccn=(organic)|utmcmd=organic|utmctr=hudson%20build%20dir; usr=t=kXSBoIG5Jk6S&s=wGmaIuhAD0eH; __utma=81883924.2034104685.1272993451.1276186265.1276193655.189; __utmc=81883924; __utmb=81883924.6.10.1276193655
If-Modified-Since: Thu, 10 Jun 2010 10:17:12 GMT

    

Answer 3

Eu uso a linha de comando tshark -x -r file.pcap quando a saída do tipo hexdump é boa para o pós-processamento.

    

Answer 4

Você não consegue abrir o wireshark e abrir esse arquivo .cap e exportá-lo do menu de arquivos como um arquivo de texto? Tentando lembrar do topo da minha cabeça, mas eu pensei que você poderia ...