如何合并来自同一来源的碎片数据包？

Question

我将来自多个来源的分段数据包存储在*.pcap 文件中。我需要合并来自同一来源的所有这些有效负载并将有效负载提取到一个文件中。

我需要使用tcpdump 或tshark 命令来完成上述任务。

如果我遗漏了什么或者您需要更多说明，请告诉我。

Answer 1

使用pdml2flow (pypi)，您可以根据 tshark / wireshark 提取的任何字段合并/聚合帧，并将它们打印为 JSON、XML 或任何其他格式。您还可以轻松地 create a new plugin 为您的用例提取、重新排列和保存有效负载。

例如，如果您想聚合具有相同源和目标 mac 的所有帧并将它们打印为 JSON，您可以这样做：

tshark -i interface -Tpdml | pdml2flow -f eth.src -f eth.dst +json

如果您可以找到一组您想要合并/聚合的字段，这可能会有所帮助。

披露：我是pdml2flow的作者。