创建一个删除了certan数据包的新wireshark文件

Question

我想通过Java代码从wireshark文件（原始pcap文件的副本）中删除某些数据包（我不想成为我的新pcap文件的一部分）。

是否可以创建一个删除了某些数据包的新pcap文件？

Answer 1

Pcap不是特定于Wireshark的格式，Wireshark恰好能够执行数据包捕获并以pcap格式保存，以及处理pcap文件供您查看，因此您可以删除Wireshark问题的一部分，只是问如何使用java操纵pcap文件。这比试图弄清楚如何使用Java与Wireshark一起生成结果数据包捕获要容易得多。

在用Java操作pcap文件方面，有许多第三方库可以公开pcap格式或pcap库的包装器，我想大多数都会有一些方法来过滤捕获的数据并将其保存回文件。

查看http://code.google.com/p/sjpcap/这是流行包装器http://netresearch.ics.uci.edu/kfujii/Jpcap/doc/的简单替代方法，它们都能够处理/过滤/操作pcap文件。后者更复杂，可能对你正在做的事情有些过分。