网络流量分析-PCAP切割、筛选、合并

场景

对流量的筛选，切割，合并

具体方法

Wireshark自带工具：

mergecap（合并流量包）

tshark（流量包过滤）

editcap（流量包分解）

流量包合并

mergecap -w total.pcap a.pcap b.pcap //（文件名太长简写成a和b）

筛选协议

tshark -r total.pcap -Y pop||smtp||http -w result.pcap（total.pcap为上一步合并的数据包）

切割

editcap.exe -c 100 D:dump.pcap D: est.pcap

参考

模拟企业网络流量进行入侵溯源分析
https://zhuanlan.zhihu.com/p/35623547