如何合并来自同一来源的碎片数据包？

Question

我有来自多个来源的分段数据包，这些数据包存储在*.pcap文件中。我需要合并所有来自相同来源的有效负载，并将有效负载提取到文件中。

我需要使用tcpdump或tshark命令来完成上述任务。

如果我错过了什么，或者您需要进一步澄清，请告诉我。

Answer 1

使用pdml2flow（pypi），您可以基于tshark / wireshark提取的任何字段合并/聚合帧，并将其打印为JSON，XML或任何其他格式。您还可以轻松create a new plugin提取，重新排列并保存用例的有效负载。

例如，如果您想聚合具有相同源Mac和目标Mac的所有帧并将其打印为JSON，则可以执行以下操作：

tshark -i interface -Tpdml | pdml2flow -f eth.src -f eth.dst +json

如果您可以找到要合并/聚合的一组字段，这可能会有所帮助。

披露：我是pdml2flow的作者。