过滤特定时间范围的 pcap 转储文件

Question

有没有什么简单的方法可以使用tshark、tcpdump 或其他命令行工具为与特定日期时间范围相关的数据包创建pcap 文件？

tshark -R 和 frame.time 看起来很有希望，但我还没能解决这个问题......

编辑

最后的命令：

editcap -F libpcap -A "2013-07-20 23:00:00" -B "2013-07-20 23:20:00" input.pcap output.pcap

Answer 1

您需要的是editcap。它是属于 Wireshark 家族的命令行工具。

查看http://www.wireshark.org/docs/man-pages/editcap.html 的手册页。

它将一个 pcap 文件作为输入，并写入一个输出。您可以对 infile 进行操作以过滤内容，例如，开始时间和结束时间、数据包编号范围、快照数据包长度、调整时间戳（！）等。它是一个很棒的工具。