Darmowy konwerter online PCAP do TEXT

Analitycy sieci konwertują przechwycone pakiety na zwykły tekst, gdy potrzebują wyników, które można przeszukiwać i wykorzystać w rejestrze incydentu, raporcie lub skrypcie. Tekst jest pochodną analizą lub podsumowaniem, a nie zamiennikiem oryginalnego przechwycenia, które można ponownie otworzyć jako pakiety.

Czym jest format PCAP

PCAP to binarny format przechwytywania pakietów, który przechowuje przechwycone ramki sieciowe wraz z metadanymi, takimi jak znaczniki czasu, długości przechwyconych danych i typ warstwy łącza. Administratorzy sieci, analitycy bezpieczeństwa, deweloperzy i śledczy sądowi używają plików PCAP do rozwiązywania problemów, analizy protokołów, badania włamań i ponownego odtwarzania ruchu.

tcpdump, Wireshark, TShark, dumpcap, czujniki sieciowe i inne narzędzia do przechwytywania mogą tworzyć pliki .pcap. .pcapng to powiązany, nowszy format przechwytywania obsługujący dodatkowe interfejsy i metadane; Wireshark i TShark zazwyczaj odczytują oba formaty.

Czym jest format TEXT

W tym procesie konwersji TEXT oznacza tekstową reprezentację podsumowań pakietów, zdekodowanych pól protokołów lub bajtów pakietów. Można go otworzyć w dowolnym edytorze tekstu i przeszukiwać za pomocą narzędzi takich jak grep, less lub PowerShell. Tekst jest wygodny w raportach, wiadomościach e-mail, notatkach przechowywanych w systemie kontroli wersji i podstawowym przetwarzaniu skryptowym.

TEXT nie jest standaryzowanym kontenerem pakietów. Nazwy kolumn, wcięcia, szczegółowość pól, reprezentacja bajtów, kodowanie znaków i układ wierszy zależą od programu eksportującego oraz jego ustawień. Tekst jest często bardziej przenośny i mniejszy niż szczegółowy raport graficzny, ale niekoniecznie jest mniejszy od oryginalnego pliku PCAP.

Jak przekonwertować PCAP do TEXT

Korzystanie z Wireshark

1. Otwórz przechwycenie za pomocą File → Open.
2. Opcjonalnie zastosuj filtr wyświetlania, taki jak dns, http lub ip.addr == 192.0.2.10. Eksportowane są tylko pakiety aktualnie uwzględnione przez filtr.
3. Wybierz File → Export Packet Dissections → As Plain Text.
4. Wybierz zakres pakietów i poziom szczegółowości, wprowadź nazwę pliku kończącą się rozszerzeniem .txt, a następnie zapisz plik.

Użyj niefiltrowanej kopii, gdy konieczne jest przedstawienie pełnego przechwycenia. Eksport przefiltrowanego widoku lub zastosowanie niższego poziomu szczegółowości trwale wyklucza informacje z tego pliku tekstowego.

Korzystanie z TShark

Aby uzyskać szczegółową analizę każdego pakietu, uruchom:

tshark -r capture.pcap -V > capture.txt

Aby uzyskać jeden wiersz podsumowania dla każdego pakietu, uruchom:

tshark -r capture.pcap > capture.txt

Aby uzyskać zwięzłe dane przyjazne skryptom, zawierające wybrane pola, użyj:

tshark -r capture.pcap -T fields -E header=y -E separator='|' -e frame.number -e frame.time -e ip.src -e ip.dst -e _ws.col.Protocol -e _ws.col.Info > capture.txt

Aby wyeksportować tylko pakiety pasujące do filtra wyświetlania, dodaj -Y 'dns or http'. -Y to filtr wyświetlania stosowany podczas odczytywania przechwycenia, a nie filtr przechwytywania pakietów. TShark jest instalowany wraz z dystrybucją Wireshark, ale musi być dostępny w ścieżce powłoki poleceń.

Korzystanie z wbudowanego konwertera

Możesz bezpłatnie przekonwertować plik w serwisie 101convert.com bez instalowania oprogramowania: prześlij PCAP, wybierz TEXT jako format wyjściowy, rozpocznij konwersję i pobierz wynik. Nie przesyłaj przechwyceń zawierających dane uwierzytelniające, dane osobowe lub poufne informacje o sieci, chyba że zezwalają na to odpowiednie zasady postępowania z danymi.

Ograniczenia jakości i zgodności

Wynik zależy od wersji analizatora i jego dissektorów protokołów. Zaszyfrowany ruch TLS, VPN i inny chroniony ruch pozostaje zaszyfrowany, chyba że analizator ma wymagane klucze sesji; eksport pakietów nie odszyfrowuje ładunków.

Ładunki binarne mogą być wyświetlane jako bajty szesnastkowe lub znaki z sekwencjami specjalnymi, pomijane albo renderowane jako nieczytelny tekst. Bardzo duże przechwycenia mogą generować niezwykle duże pliki z użyciem -V; użyj filtra wyświetlania lub wybranych pól, gdy wystarczający jest zwięzły wynik.

Zwykły tekst nie zachowuje oryginalnej, przeznaczonej dla maszyn struktury pakietów, wszystkich metadanych ani koniecznie każdego bajtu. Zachowaj oryginalny plik PCAP i zapisz wersję analizatora, filtry, ustawienia szczegółowości oraz polecenie eksportu, jeśli tekst będzie używany podczas dochodzenia lub jako dowód.