从 pcap 捕获中提取数据有效负载

【问题标题】：Extracting data payload from pcap capture从 pcap 捕获中提取数据有效负载
【发布时间】：2015-03-31 21:54:00
【问题描述】：

我想从 UDP 流中提取单个数据包数据部分（有效负载）到文件，从 pcap 捕获，给定捕获中的数据包编号。

我尝试了以下命令

tshark -r fec_1D_10x10.pcap -R "frame.number == 13" -T fields -e data -w fecData.raw

但是，整个数据包被保存。我怎么能这样做（不一定用 tshark）？

谢谢

【问题讨论】：

标签： pcap

【解决方案1】：

好的，当提供 -w 选项时，它的行为与标准输出不同。因此，作为一种解决方法，因为它看起来有点 hack 并且速度很慢：

tshark -r fec_1D_10x10.pcap -R "frame.number == 13" -T fields -e data | tr -d '\n' | perl -pe 's/([0-9a-f]{2})/chr hex $1/gie' > fecData.raw

【讨论】：