A. 如何从pcap文件中解析mysql部分
pcap文件中的,或者现场抓包山李得到的,都是以太网中的网络数据包.是以数据包为单位的.你在wireshark中上面列表中看到的每一行,都是一个以太网数据包.而机器之间的通信,都是需要经过多个数据包的发送与接收,才能完成的.
你可以在上面的filter那里设置过滤的协议,将列表中杂乱的数据包槐橘过滤一下,仅显示某个协议的数据包,列表中,就都是这个协议铅唯团及这个协议承载的协议的数据包了.
至于双向传输,也需要多个数据包的传输交互理解后,才可以完成,所以每个数据包肯定是单向的.
数据流的含义比较模糊,不是很确定,所以不方便回答
B. 求助 如何读取.pcap包文件
等待高手
C. 如何采集pcap流量
采集pcap流量的方法包括：1. 使用具有相应功能的硬件设备；2. 使用网络流量分析系统；3. 使用packeth或wireshark等免费网络分析工具。采集pcap流量的步骤包括：1. 通过过滤规则肢穗和检测条件困饥陵定位目标服汪戚务；2. 使用抓包软件开始抓取数据流量；3. 将抓取的数据流量保存为pcap文件。
D. SplitCap的使用
来源:http://www.netresec.com/?page=SplitCap
SplitCap是免费的开源pcap文件分割器。SplitCap根据TCP和UDP会话将一个大型pcap文件拆分为多个文件，每个会话一个pcap文件。SplitCap还可以用于将pcap文件拆分为每个主机对的pcap文件，而不是会话。
SplitCap最好的特点之一就是它的速度非常快!
SplitCap中的TCP和UDP会话概念被定义为双向流，即所有具有相同5-touple（源主机、目标主机、源端口、目标端口、传输协议）的帧/数据包，不管包方向是同一会话的一部分。
SplitCap是使用NET framework 2.0用c#编写的。在运行SplitCap之前，请确保安装了它。大多数版本差档的MS Windows默认设置NET framework 2.0框架。
SplitCap是由Erik Hjelmvik提供的统计协议识别研究项目的一部分，该项目由瑞典互联网基础设施基金会(the Swedish Internet Infrastructure Foundation)提供。
SplitCap可以从版本1.5中使用，以便有效地过滤基于一个或多个IP地址或udp端口号的大型PCAP文件。虚指乱简单地使用“-s nosplit”选项和一个或多个“-端口”或“-ip”开关来指定从大型pcap文件中保留哪些流量。SplitCap执行这种类型的过滤的速度要快得多，而且与tshark相比，它的内存使用更少。
警告:当使用“- yl7”SplitCap提取应用层数据(L7)时，不执行任何适当的TCP会话重新组装。逗仔这意味着TCP重新传输和重叠部分将导致相同的数据写入两次。无序的TCP包也会导致应用程序层数据以无序的顺序存储。
可以进行适当的TCP会话重新组装的应用程序是NetworkMiner和Wireshark。
在我们的博客文章“拆分或过滤您的PCAP文件与SplitCap”中,您可以阅读更多关于如何使用SplitCap。
使用GUI应用程序分割大型pcap。
是否需要根据流/会话筛选大型pcap文件?那么请看看我们的CapLoader工具吧。CapLoader可以有效地提取来自大型pcap文件的单个或多个流的完整内容数据。请访问我们的CapLoader页面获取更多信息:
https://www.netresec.com/?page=CapLoader
SplitCap中流保存的信息:
在一个流提取文件中包含了双向通信中的所有流数据信息,以上是访问某网站时的双向流信息.
以下是用wireshark展看的截获的流数据信息：
E. 微信发送文件如何从pcap获取
从PCAP文件获取微信发送的文件需要使用特定的软件工具，比如Wireshark。首先，你需要打开你的pcap文件，然后在过滤器中搜索“wechat”，这样你就可以找到所有相关的微信文件。然后，你可以用“文件”菜单中的“导出对象”功能，将微信文件保存到你的硬盘上。最后，你可以用任何文本编辑器来查看这些文件。
F. 抓取tcpmp数据的方法
1 将tcpmp文件push到手机
adb root
adb remount
adb push tcpmp /data/local/
2 修改tcpmp的权限
adb shell
chmod 777 /data/local/tcpmp
3 切换到/data/local/抓取tcpmp数据
cd data/local/
tcpmp -i any -vv -w 111.pcap
步骤1,2,3操作完成后启动抓袜模取tcpmp数据，此时操作对应的手机模块即可，抓取完成后，按Ctrl+C可结束，将搏升抓取的数据保存再当前目录下（/data/local/）
4 导出抓取的tcpmp数据
adb pull /data/local/111.pcap H:/LOG
5 使用wireshark查看抓取的.pcap文件
打开wireshark工具，选择文件-打开对应文件即可
6 注意如果执行tcpmp报错，/system/bin/sh: tcpmp:not foun
如果有如上报错，可执行如下命令
adb push /system/bin/
adb shell
chmod 777 /system/bin/tcpmp
再执行基好老抓取命令
G. 通过抓包工具生成了PCAP文件，想要使用C#或者Java对PCAP文件进行解析提取出图片，表单等内容，请给些头绪
http://www.cnblogs.com/imwtr/p/4398652.html#3157540
博客园上面的一篇文孝闷首章巧数，类似思罩亩路应该可以
H. 如何用C++实现读取.pcap包文件
建议用winpcap提供的函数就行读取
抓来的报文有他自己定义的结构
用pcap_next_ex()函数可以把真正的把报文读出来
之后就是按照协议来解析报文，这个就容易了
看winpcap帮助文档上的例子，很快的
I. linux C 下想把pcap文件中的http数据包里的gzip压缩的内容解出来！有没有人做过！或是有什么办法吗
兄弟，找出解决办法，告诉我一声，我最近也在找相关的东西，头都大了。。。。
J. python怎样读取pcap文件
程序如下：
#!/usr/bin/env python
#coding=utf-8
#读取pcap文件，解析相应的信息，为了在记事本中显示的方便，把二进制的信息
import struct
fpcap = open('test.pcap','rb')
ftxt = open('result.txt','w')
string_data = fpcap.read()
#pcap文件包头解析
pcap_header = {}
pcap_header['magic_number'] = string_data[0:4]
pcap_header['version_major'] = string_data[4:6]
pcap_header['version_minor'] = string_data[6:8]
pcap_header['thiszone'] = string_data[8:12]
pcap_header['sigfigs'] = string_data[12:16]
pcap_header['snaplen'] = string_data[16:20]
pcap_header['linktype'] = string_data[20:24]
#把pacp文件头信息写入result.txt
ftxt.write("Pcap文件的包头内容如下： \n")
for key in ['magic_number','version_major','version_minor','thiszone',
'sigfigs','snaplen','linktype']:
ftxt.write(key+ " : " + repr(pcap_header[key])+'\n')
#pcap文件的数据包解析
step = 0
packet_num = 0
packet_data = []
pcap_packet_header = {}
i =24
while(i<len(string_data)):
#数据包头各个字段
pcap_packet_header['GMTtime'] = string_data[i:i+4]
pcap_packet_header['MicroTime'] = string_data[i+4:i+8]
pcap_packet_header['caplen'] = string_data[i+8:i+12]
pcap_packet_header['len'] = string_data[i+12:i+16]
#求出此包的包长len
packet_len = struct.unpack('I',pcap_packet_header['len'])[0]
#写入此包数据
packet_data.append(string_data[i+16:i+16+packet_len])
i = i+ packet_len+16
packet_num+=1
#把pacp文件里的数据包信息写入result.txt
for i in range(packet_num):
#先写每一包的包头
ftxt.write("这是第"+str(i)+"包数据的包头和数据："+'\n')
for key in ['GMTtime','MicroTime','caplen','len']:
ftxt.write(key+' : '+repr(pcap_packet_header[key])+'\n')
#再写数据部分
ftxt.write('此包的数据内容'+repr(packet_data[i])+'\n')
ftxt.write('一共有'+str(packet_num)+"包数据"+'\n')
ftxt.close()
fpcap.close()
最终得到的result文件如下所示：字段显示的都是十六进制，其中的数据部分和wireshark打开，显示的十六进制窗口一样。