通过PCAP文件查看Wireshark中获取的docx、pdf和text文件的内容

Question

所以，我有一个使用 Wireshark 工具打开的 pcap 文件。现在，我可以通过 HTTP 过滤器找到 4 个文件： 1.一个docx文件 2.一个pdf文件 3.一个txt文件 4.PNG文件

我通过以下方式提取了PNG图像文件：

右键单击数据包 -> 跟随 -> 使用 TCP -> 将文件从 ASCII 转换为原始文件 -> 搜索“FFD8”和“FFD9”并将原始网络文本复制粘贴到 HxD 十六进制编辑器并保存为 PNG .

我不知道如何查看其余的内容。我使用的是 Windows 10 系统。任何帮助将不胜感激。

提前谢谢你。

Answer 1

Wireshark 能够从 HTTP 导出文件。在 Macos 和 Windows 上，您可以在 GUI 中以

的形式找到它

File > Export Objects > HTTP

您可以在https://www.wireshark.org/docs/wsug_html_chunked/ChIOExportSection.html#ChIOExportObjectsDialog 的 Wireshark 指南中找到更多信息

您也可以通过tshark --export-objects http,$dest_dir 使用 tshark 执行此操作。 tshark.dev 有一篇关于使用这个here的文章。