diff --git a/translated/tech/How to filter, split or merge pcap files on Linux.md b/published/How to filter, split or merge pcap files on Linux.md similarity index 61% rename from translated/tech/How to filter, split or merge pcap files on Linux.md rename to published/How to filter, split or merge pcap files on Linux.md index 3c3335544d..82caa80cbd 100644 --- a/translated/tech/How to filter, split or merge pcap files on Linux.md +++ b/published/How to filter, split or merge pcap files on Linux.md @@ -1,7 +1,7 @@ Linux下如何过滤、分割以及合并 pcap 文件 ============= -如果你是个网络管理员，并且你的工作包括测试一个[入侵侦测系统][1]或一些网络访问控制策略，那么你通常需要抓取数据包并且在离线状态下分析这些文件。当需要保存捕获的数据包时，我们会想到 libpcap 的数据包格式被广泛使用于许多开源的嗅探工具以及捕包程序。如果 pcap 文件被用于入侵测试或离线分析的话，那么在将他们[注入][2]网络之前通常要先对 pcap 文件进行一些操作。 +如果你是一个测试[入侵侦测系统][1]或一些网络访问控制策略的网络管理员，那么你经常需要抓取数据包并在离线状态下分析这些文件。当需要保存捕获的数据包时，我们一般会存储为 libpcap 的数据包格式 pcap，这是一种被许多开源的嗅探工具以及捕包程序广泛使用的格式。如果 pcap 文件被用于入侵测试或离线分析的话，那么在将他们[注入][2]网络之前通常要先对 pcap 文件进行一些操作。 ![](https://farm8.staticflickr.com/7570/15425147404_a69f416673_c.jpg) @@ -9,9 +9,9 @@ Linux下如何过滤、分割以及合并 pcap 文件 ### Editcap 与 Mergecap### -Wireshark，是最受欢迎的 GUI 嗅探工具，实际上它来源于一套非常有用的命令行工具集。其中包括 editcap 与 mergecap。editcap 是一个万能的 pcap 编辑器，它可以过滤并且能以多种方式来分割 pcap 文件。mergecap 可以将多个 pcap 文件合并为一个。 这篇文章就是基于这些 Wireshark 命令行工具。 +Wireshark，是最受欢迎的 GUI 嗅探工具，实际上它带了一套非常有用的命令行工具集。其中包括 editcap 与 mergecap。editcap 是一个万能的 pcap 编辑器，它可以过滤并且能以多种方式来分割 pcap 文件。mergecap 可以将多个 pcap 文件合并为一个。 这篇文章就是基于这些 Wireshark 命令行工具的。 -如果你已经安装过Wireshark了，那么这些工具已经在你的系统中了。如果还没装的话，那么我们接下来就安装 Wireshark 命令行工具。 需要注意的是，在基于 Debian 的发行版上我们可以不用安装 Wireshark GUI 而仅安装 命令行工具，但是在 Red Hat 及 基于它的发行版中则需要安装整个 Wireshark 包。 +如果你已经安装过 Wireshark 了，那么这些工具已经在你的系统中了。如果还没装的话，那么我们接下来就安装 Wireshark 命令行工具。 需要注意的是，在基于 Debian 的发行版上我们可以不用安装 Wireshark GUI 而仅安装命令行工具，但是在 Red Hat 及 基于它的发行版中则需要安装整个 Wireshark 包。 **Debian, Ubuntu 或 Linux Mint** @@ -27,15 +27,15 @@ Wireshark，是最受欢迎的 GUI 嗅探工具，实际上它来源于一套非 通过 editcap， 我们能以很多不同的规则来过滤 pcap 文件中的内容，并且将过滤结果保存到新文件中。 -首先，以“起止时间”来过滤 pcap 文件。 " - A < start-time > and " - B < end-time > 选项可以过滤出处在这个时间段到达的数据包（如，从 2:30 ～ 2:35）。时间的格式为 “ YYYY-MM-DD HH:MM:SS"。 +首先，以“起止时间”来过滤 pcap 文件。 " - A < start-time > 和 " - B < end-time > 选项可以过滤出在这个时间段到达的数据包（如，从 2:30 ～ 2:35）。时间的格式为 “ YYYY-MM-DD HH:MM:SS"。 - $ editcap -A '2014-12-10 10:11:01' -B '2014-12-10 10:21:01' input.pcap output.pcap + $ editcap -A '2014-12-10 10:11:01' -B '2014-12-10 10:21:01' input.pcap output.pcap 也可以从某个文件中提取指定的 N 个包。下面的命令行从 input.pcap 文件中提取100个包（从 401 到 500）并将它们保存到 output.pcap 中： $ editcap input.pcap output.pcap 401-500 -使用 "-D< dup-window >" （dup-window可以看成是对比的窗口大小，仅与此范围内的包进行对比）选项可以提取出重复包。每个包都依次与它之前的 < dup-window > -1 个包对比长度与MD5值，如果有匹配的则丢弃。 +使用 "-D < dup-window >" （dup-window可以看成是对比的窗口大小，仅与此范围内的包进行对比）选项可以提取出重复包。每个包都依次与它之前的 < dup-window > -1 个包对比长度与MD5值，如果有匹配的则丢弃。 $ editcap -D 10 input.pcap output.pcap @@ -71,13 +71,13 @@ Wireshark，是最受欢迎的 GUI 嗅探工具，实际上它来源于一套非 如果要忽略时间戳，仅仅想以命令行中的顺序来合并文件，那么使用 -a 选项即可。 -例如，下列命令会将 input.pcap文件的内容写入到 output.pcap, 并且将 input2.pcap 的内容追加在后面。 +例如，下列命令会将 input.pcap 文件的内容写入到 output.pcap, 并且将 input2.pcap 的内容追加在后面。 $ mergecap -a -w output.pcap input.pcap input2.pcap ###总结### -在这篇指导中，我演示了多个 editcap、 mergecap 操作 pcap 文件的案例。除此之外，还有其它的相关工具，如 [reordercap][3]用于将数据包重新排序，[text2pcap][4] 用于将pcap 文件转换为 文本格式， [pcap-diff][5]用于比较 pcap 文件的异同，等等。当进行网络入侵测试及解决网络问题时，这些工具与[包注入工具][6]非常实用，所以最好了解他们。 +在这篇指导中，我演示了多个 editcap、 mergecap 操作 pcap 文件的例子。除此之外，还有其它的相关工具，如 [reordercap][3]用于将数据包重新排序，[text2pcap][4] 用于将 pcap 文件转换为文本格式， [pcap-diff][5]用于比较 pcap 文件的异同，等等。当进行网络入侵测试及解决网络问题时，这些工具与[包注入工具][6]非常实用，所以最好了解他们。 你是否使用过 pcap 工具？ 如果用过的话，你用它来做过什么呢？ @@ -86,8 +86,8 @@ Wireshark，是最受欢迎的 GUI 嗅探工具，实际上它来源于一套非 via: http://xmodulo.com/filter-split-merge-pcap-linux.html 作者：[Dan Nanni][a] -译者：[SPccman](https://github.com/译者ID) -校对：[校对者ID](https://github.com/校对者ID) +译者：[SPccman](https://github.com/SPccman) +校对：[wxy](https://github.com/wxy) 本文由 [LCTT](https://github.com/LCTT/TranslateProject) 原创翻译，[Linux中国](http://linux.cn/) 荣誉推出