如何从pcap文件中提取数据答案

【问题标题】：how to extract data from pcap file如何从pcap文件中提取数据
【发布时间】：2016-10-16 04:53:19
【问题描述】：

我有几个pcap文件，在wireshark中可以看到memcache协议及其对应的数据，但是我用tshark批量导出数据时，只显示一个字符（0x0b），为什么？

我使用的命令：tshark -Y "memcache contains set" -r input.pcap -T fields -e memcache.value 谢谢！顺便说一句，内存缓存键工作正常。我不能在这里分享这些文件，因为它们是机密的。

【问题讨论】：

【解决方案1】：

为我工作：

$tshark -r 3006-example.cap -Y "memcache.command==set" -T fields -e memcache.value
hello, world!
noreplyset

测试文件：附加到Wireshark bug 3467

我确实注意到 0x0b 不是可打印的 ascii 字符。内存缓存解析器假定“值”是一个 ascii 字符串。

如果您查看捕获文件中相应数据包中的“值”字段，它是一个 ascii 字符串吗？

编辑：查看memcache protocol spec，似乎“值”字段应被视为“非结构化数据”，而不应视为ascii字符串。请随时向bugs.wireshark.org提交错误报告

【讨论】：