来自mergecap命令的合并pcap文件

Question

我已经创建了一个合并脚本来将文件夹中的所有pcap文件合并到一个文件中。合并功能起作用。但是，有没有办法测试合并文件和输入文件的内容是否相同呢？因为我必须通读文件的应用程序说，合并的文件是怎么损坏的。

Answer 1

尝试使用wireshark或tcpdump加载合并后的文件，这会告诉您它是否已损坏。但也许文件并未损坏，而是您的应用程序无法理解的格式。尝试与输出格式'pcap‘合并，例如mergecap -F pcap，因为某些应用程序不能使用pcapng (由wireshark使用)。

Answer 2

在mergecap和tcpslice中有时会发生这种情况。如果输入的pcap文件不完美，它们就不能很好地工作。

这可以使用joincap来解决。

go get -u github.com/assafmo/joincap

合并1.pcap和2.pcap的步骤

joincap 1.pcap 2.pcap > merged.pcap

我编写joincap是为了克服我认为mergecap和tcpslice的错误处理不好的问题。

有关更多详细信息，请访问https://github.com/assafmo/joincap。