如何将 pcap 文件拆分为一组较小的文件

Question

我有一个巨大的 pcap 文件（由 tcpdump 生成）。当我尝试在wireshark中打开它时，该程序没有响应。有没有办法将一个文件分成一组较小的文件以一个一个地打开它们？文件中捕获的流量由两台服务器上的两个程序生成，因此我无法使用 tcpdump 'host' 或 'port' 过滤器拆分文件。我也试过 linux 'split' 命令 :-) 但没有运气。Wireshark 无法识别该格式。

Answer 1

您可以通过 -C、-r 和 -w 选项使用 tcpdump 本身

tcpdump -r old_file -w new_files -C 10

“-C”选项指定要拆分的文件的大小。例如：在上述情况下，每个新文件的大小为 1000 万字节。

Answer 2

使用editcap随 Wireshark 分发的实用程序。