无法对编辑过的wireshark文件进行tcpreplay

Question

我做了什么 -

1. 有线路捕获网络流量。
2. 编辑捕获文件以删除一个GET请求。 （使用editcap删除该行）
3. 保存已编辑的文件（从步骤2开始）
4. 是否对此文件进行过播放。

当我这样做时，我收到一个错误：致命错误：打开pcap文件时出错：错误的转储文件格式。

任何可能出错的输入？我在编辑wireshark pcap文件的方式上做错了吗？

感谢， 安迪

Answer 1

默认的editcap捕获文件输出类型是pcapng。

快速浏览一下tcpreplay文档，只显示了libpcap格式（而不是pcapng）。

所以：也许解决方法是为editcap指定'-F pcap'选项，将捕获文件输出格式指定为libpcap格式。

更新

来自tcpreplay FAQ：

“Tcpreplay是否支持Pcap-Ng / NTAR文件？

是。 Tcpreplay套件使用libpcap进行阅读和阅读。写pcap文件。如果你有libpcap 1.1.0或更高版本，那么tcpreplay，tcprewrite等可以读取pcap-ng文件。如果你有一个旧版本的libpcap，你应该升级到最新版本，因为早期版本的libpcap有pcap-ng文件的bug。 “

所以:(假设你使用的是libpcap版本＆gt; = 1.1.0）我不确定是什么问题。您可能仍想尝试指定pcap输出格式以查看是否会产生影响。

另外：您是否能够使用tcpreplay阅读原始捕获文件（编辑之前）？ （原始文件的格式是什么？（使用'capinfos filename'确定文件类型）。