A. 如何從pcap文件中解析mysql部分
pcap文件中的,或者現場抓包山李得到的,都是乙太網中的網路數據包.是以數據包為單位的.你在wireshark中上面列表中看到的每一行,都是一個乙太網數據包.而機器之間的通信,都是需要經過多個數據包的發送與接收,才能完成的.
你可以在上面的filter那裡設置過濾的協議,將列表中雜亂的數據包槐橘過濾一下,僅顯示某個協議的數據包,列表中,就都是這個協議鉛唯團及這個協議承載的協議的數據包了.
至於雙向傳輸,也需要多個數據包的傳輸交互理解後,才可以完成,所以每個數據包肯定是單向的.
數據流的含義比較模糊,不是很確定,所以不方便回答
B. 求助 如何讀取.pcap包文件
等待高手
C. 如何採集pcap流量
採集pcap流量的方法包括：1. 使用具有相應功能的硬體設備；2. 使用網路流量分析系統；3. 使用packeth或wireshark等免費網路分析工具。採集pcap流量的步驟包括：1. 通過過濾規則肢穗和檢測條件困飢陵定位目標服汪戚務；2. 使用抓包軟體開始抓取數據流量；3. 將抓取的數據流量保存為pcap文件。
D. SplitCap的使用
來源:http://www.netresec.com/?page=SplitCap
SplitCap是免費的開源pcap文件分割器。SplitCap根據TCP和UDP會話將一個大型pcap文件拆分為多個文件，每個會話一個pcap文件。SplitCap還可以用於將pcap文件拆分為每個主機對的pcap文件，而不是會話。
SplitCap最好的特點之一就是它的速度非常快!
SplitCap中的TCP和UDP會話概念被定義為雙向流，即所有具有相同5-touple（源主機、目標主機、源埠、目標埠、傳輸協議）的幀/數據包，不管包方向是同一會話的一部分。
SplitCap是使用NET framework 2.0用c#編寫的。在運行SplitCap之前，請確保安裝了它。大多數版本差檔的MS Windows默認設置NET framework 2.0框架。
SplitCap是由Erik Hjelmvik提供的統計協議識別研究項目的一部分，該項目由瑞典互聯網基礎設施基金會(the Swedish Internet Infrastructure Foundation)提供。
SplitCap可以從版本1.5中使用，以便有效地過濾基於一個或多個IP地址或udp埠號的大型PCAP文件。虛指亂簡單地使用「-s nosplit」選項和一個或多個「-埠」或「-ip」開關來指定從大型pcap文件中保留哪些流量。SplitCap執行這種類型的過濾的速度要快得多，而且與tshark相比，它的內存使用更少。
警告:當使用「- yl7」SplitCap提取應用層數據(L7)時，不執行任何適當的TCP會話重新組裝。逗仔這意味著TCP重新傳輸和重疊部分將導致相同的數據寫入兩次。無序的TCP包也會導致應用程序層數據以無序的順序存儲。
可以進行適當的TCP會話重新組裝的應用程序是NetworkMiner和Wireshark。
在我們的博客文章「拆分或過濾您的PCAP文件與SplitCap」中,您可以閱讀更多關於如何使用SplitCap。
使用GUI應用程序分割大型pcap。
是否需要根據流/會話篩選大型pcap文件?那麼請看看我們的CapLoader工具吧。CapLoader可以有效地提取來自大型pcap文件的單個或多個流的完整內容數據。請訪問我們的CapLoader頁面獲取更多信息:
https://www.netresec.com/?page=CapLoader
SplitCap中流保存的信息:
在一個流提取文件中包含了雙向通信中的所有流數據信息,以上是訪問某網站時的雙向流信息.
以下是用wireshark展看的截獲的流數據信息：
E. 微信發送文件如何從pcap獲取
從PCAP文件獲取微信發送的文件需要使用特定的軟體工具，比如Wireshark。首先，你需要打開你的pcap文件，然後在過濾器中搜索「wechat」，這樣你就可以找到所有相關的微信文件。然後，你可以用「文件」菜單中的「導出對象」功能，將微信文件保存到你的硬碟上。最後，你可以用任何文本編輯器來查看這些文件。
F. 抓取tcpmp數據的方法
1 將tcpmp文件push到手機
adb root
adb remount
adb push tcpmp /data/local/
2 修改tcpmp的許可權
adb shell
chmod 777 /data/local/tcpmp
3 切換到/data/local/抓取tcpmp數據
cd data/local/
tcpmp -i any -vv -w 111.pcap
步驟1,2,3操作完成後啟動抓襪模取tcpmp數據，此時操作對應的手機模塊即可，抓取完成後，按Ctrl+C可結束，將搏升抓取的數據保存再當前目錄下（/data/local/）
4 導出抓取的tcpmp數據
adb pull /data/local/111.pcap H:/LOG
5 使用wireshark查看抓取的.pcap文件
打開wireshark工具，選擇文件-打開對應文件即可
6 注意如果執行tcpmp報錯，/system/bin/sh: tcpmp:not foun
如果有如上報錯，可執行如下命令
adb push /system/bin/
adb shell
chmod 777 /system/bin/tcpmp
再執行基好老抓取命令
G. 通過抓包工具生成了PCAP文件，想要使用C#或者Java對PCAP文件進行解析提取出圖片，表單等內容，請給些頭緒
http://www.cnblogs.com/imwtr/p/4398652.html#3157540
博客園上面的一篇文孝悶首章巧數，類似思罩畝路應該可以
H. 如何用C++實現讀取.pcap包文件
建議用winpcap提供的函數就行讀取
抓來的報文有他自己定義的結構
用pcap_next_ex()函數可以把真正的把報文讀出來
之後就是按照協議來解析報文，這個就容易了
看winpcap幫助文檔上的例子，很快的
I. linux C 下想把pcap文件中的http數據包里的gzip壓縮的內容解出來！有沒有人做過！或是有什麼辦法嗎
兄弟，找出解決辦法，告訴我一聲，我最近也在找相關的東西，頭都大了。。。。
J. python怎樣讀取pcap文件
程序如下：
#!/usr/bin/env python
#coding=utf-8
#讀取pcap文件，解析相應的信息，為了在記事本中顯示的方便，把二進制的信息
import struct
fpcap = open('test.pcap','rb')
ftxt = open('result.txt','w')
string_data = fpcap.read()
#pcap文件包頭解析
pcap_header = {}
pcap_header['magic_number'] = string_data[0:4]
pcap_header['version_major'] = string_data[4:6]
pcap_header['version_minor'] = string_data[6:8]
pcap_header['thiszone'] = string_data[8:12]
pcap_header['sigfigs'] = string_data[12:16]
pcap_header['snaplen'] = string_data[16:20]
pcap_header['linktype'] = string_data[20:24]
#把pacp文件頭信息寫入result.txt
ftxt.write("Pcap文件的包頭內容如下： \n")
for key in ['magic_number','version_major','version_minor','thiszone',
'sigfigs','snaplen','linktype']:
ftxt.write(key+ " : " + repr(pcap_header[key])+'\n')
#pcap文件的數據包解析
step = 0
packet_num = 0
packet_data = []
pcap_packet_header = {}
i =24
while(i<len(string_data)):
#數據包頭各個欄位
pcap_packet_header['GMTtime'] = string_data[i:i+4]
pcap_packet_header['MicroTime'] = string_data[i+4:i+8]
pcap_packet_header['caplen'] = string_data[i+8:i+12]
pcap_packet_header['len'] = string_data[i+12:i+16]
#求出此包的包長len
packet_len = struct.unpack('I',pcap_packet_header['len'])[0]
#寫入此包數據
packet_data.append(string_data[i+16:i+16+packet_len])
i = i+ packet_len+16
packet_num+=1
#把pacp文件里的數據包信息寫入result.txt
for i in range(packet_num):
#先寫每一包的包頭
ftxt.write("這是第"+str(i)+"包數據的包頭和數據："+'\n')
for key in ['GMTtime','MicroTime','caplen','len']:
ftxt.write(key+' : '+repr(pcap_packet_header[key])+'\n')
#再寫數據部分
ftxt.write('此包的數據內容'+repr(packet_data[i])+'\n')
ftxt.write('一共有'+str(packet_num)+"包數據"+'\n')
ftxt.close()
fpcap.close()
最終得到的result文件如下所示：欄位顯示的都是十六進制，其中的數據部分和wireshark打開，顯示的十六進制窗口一樣。