Filtra o arquivo tcpdump DEPOIS da captura

Question

Eu capturei um arquivo tcpdump realmente grande que agora sempre trava meu wireshark. Ele foi capturado sem filtros e eu preciso aplicar alguns depois para tornar o arquivo menor.

Isso é de alguma forma possível?

    

Answer 1

Sim, é possível. Você pode usar o seguinte comando:

tcpdump -r your_input_file.pcap -w your_output_file.pcap "your_filter"

O tcpdump lerá o arquivo de entrada, aplicará o filtro e gravará o arquivo de saída. Você precisa apenas criar o filtro certo.

    

Answer 2

Tente netsniff-ng , ele processa sequencialmente o pcap ao contrário do Wireshark, que tenta carregar tudo na RAM.