Tcpdump 最大拆分文件大小

Question

我参考了这个线程：如何将 pcap 文件拆分为一组较小的文件

我尝试使用该命令tcpdump -r old_file -w new_files -C 4096并且 tcpdump 返回tcpdump: invalid file size 4096

到目前为止，我已经测试到 2048 年（x1,000,000 字节），它成功地将文件拆分为每个 2GB 的大 pcap 文件。无论如何，要将一个大的 pcap 文件（例如 20GB）拆分为每个 4GB 的较小文件吗？

Answer 1

除非您愿意更改源代码并重新编译，否则您不会让 tcpdump 在本机执行此操作。

case 'C':
        Cflag = atoi(optarg) * 1000000;
        if (Cflag < 0)
            error("invalid file size %s", optarg);
        break;

您需要查找并修改 CFlags 的类型。但这可能会导致其他意想不到的问题。

您可以尝试将其拆分为 2GB 块，然后从每对的第二个文件中删除 20 字节文件头（ ddeek是您的朋友），然后使用 cat 将两个文件连接在一起。