如何使用-C选项保存tcpdump pcap文件

Question

我使用以下命令捕获文件。

tcpdump -i eth0 -C 100 -w test.pcap

这将使用名称test.pcap，test.pcap1，test.pcap2旋转文件... 有没有办法用test.pcap，test1.pcap，test2.pcap？

保存文件

谢谢

Answer 1

我认为tcpdump不可能。从tcpdump手册页：

第一个保存文件后的

保存文件将使用-w标志指定名称，后面带一个数字，从1开始并继续向上。

如果您有tshark，则可以尝试以下方式：

tshark -i eth0 -b filesize:100000 -w test.pcap

这将生成test_nnnnn_YYYYmmddHHMMSS.pcap

形式的捕获文件

......其中：

• nnnnn是一个递增的数字，从1开始（对于所有文件都是一致的，与tcpdump不同）
• YYYY是包含世纪的十进制数字的年份
• mm是十进制数字的月份（范围01到12）
• dd是十进制数字（范围01到31）
的月中的某一天
• HH是使用24小时制（范围00到23）的十进制数小时
• MM是以十进制数表示的分钟（范围00到59）
• SS是第二个十进制数字（范围00到60）

（从strftime借来的符号和描述。）

注意：tcpdump的 -C file_size 选项指定MB的数量为 {{ 1}} （即100 = 100,000,000字节），而file_size的 tshark 选项指定kB的数量为https://github.com/aframevr/aframe/pull/2925 -b filesize:NUM （即，100000 = 100,000,000字节）。