我怎样才能优雅地关闭RawCap？

Question

我正在使用RawCap捕获从我的开发机器(一个应用程序)发送到自己(另一个应用程序)的数据包.我可以把它写入一个文件,如下所示:

RawCap.exe 192.168.125.50 piratedPackets.pcap

...然后在Wireshark中打开*.pcap文件以检查详细信息.当我从Postman调用我的REST方法时,这有效,但是当使用Fiddler的Composer选项卡尝试相同时,*.pcap文件最终为空.我想这可能是因为我关闭RawCap的方式本身就是原始的 - 我只是关闭了命令提示符.打字"退出"在忙于捕捉时什么都不做.

如果在掠夺战利品之前捕获的数据包沉入海底,我怎样才能像现代的Mansel Alcantra一样？我怎样才能优雅地关闭RawCap,以便它(希望)将其内容保存到日志(*.pcap)文件中？

Answer 1

通过点击优雅地关闭RawCap Ctrl + C.这样做会将所有数据包从内存清除到磁盘.

你也可以告诉RawCap只捕获一定数量的数据包(使用-c参数)或在一定秒数后结束嗅探(使用-s参数).这是一个使用-s来嗅探60秒的例子:

RawCap.exe -s 60 192.168.125.50 piratedPackets.pcap

最后,如果上述方法都不适合您,那么您可能想要使用该-f开关.通过使用-f所有捕获的数据包将立即刷新到磁盘.但是,这会对性能产生影响,因此在使用-f开关进行嗅探时,丢失/丢弃数据包的风险会更大.

您可以运行RawCap.exe --help以显示可用的命令行参数.它们也记录在这里:http: //www.netresec.com/？page = RawCap