Hvad er PCAPNG-filformatet?
En .pcapng-fil indeholder datapakker opsamlet over et netværk, gemt i PCAP Next Generation (PCAPNG)-formatet. Datapakkerne gemt i en .pcapng-fil bruges af netværksprotokol-analyseringsprogrammer, såsom Wireshark, til at overvåge og administrere netværkstrafik. PCAPNG afløser det ældre .pcap-format og blev Wiresharks standardformat i version 1.8 (2012).
Formatet organiserer data i flere typer blokke i et struktureret format. Vigtige bloktyper inkluderer:
- Section Header Block (SHB) - åbner en opsamlingssektion; inkluderer Byte-Order Magic (
1A 2B 3C 4D) til automatisk detektering af endianness - Interface Description Block (IDB) - registrerer link-layer type og interface-metadata for hver opsamlingskilde
- Enhanced Packet Block (EPB) - gemmer individuelle rammer med præcise tidsstempler og valgfrie flag per pakke
- Name Resolution Block (NRB) - mapper IP-adresser til værtsnavne
- Interface Statistics Block (ISB) - indeholder opsamlingsstatistik per interface
Information gemt på tværs af disse blokke kan bruges til at rekonstruere de opsamlede data. Filen identificeres ved magic bytes 0A 0D 0D 0A ved offset 0; den registrerede MIME-type er application/x-pcapng.
Sikkerhed og tryghed
RISIKO: MEDIUMEn pcapng-fil er passive data og kan ikke eksekveres i sig selv, men den er følsom: en opsamling kan indeholde adgangskoder i klartekst, session-cookies/tokens, interne IP-adresser og værtsnavne, samt fulde payloads af ukrypteret trafik. Behandl opsamlinger som fortrolige - upload IKKE følsomme filer til offentlige online-analysatorer, og rens dem før deling. Opsamling af trafik på netværk, du ikke ejer eller administrerer, kan være ulovligt. Der er en sekundær teknisk risiko: historisk set er fejl i analyseværktøjers parsere (inklusive Wireshark-dissektorer) blevet udnyttet af ondsindede opsamlingsfiler, så hold Wireshark opdateret og vær forsigtig med at åbne upålidelige filer.
Formatdetaljer
kort fortaltFULDSTÆNDIGT NAVNPCAP Next Generation Capture File
UDVIKLERWireshark / IETF OPSAWG (community standard)siden circa 2010 (Wireshark 1.8 made it the default save format in 2012)
KATEGORIDatafiler
MIME-TYPEapplication/x-pcapng
TYPEBinær netværkspakke-opsamling (blok-struktureret)
STANDARDÅben · royaltyfri
MAGIC BYTES · FILSIGNATUR
OFFSET
00010203
HEX
0A0D0D0A
ASCII
····
En pcapng-fil begynder med en Section Header Block: de første 4 bytes er bloktypen 0A 0D 0D 0A, efterfulgt af blokkens samlede længde, og en Byte-Order Magic-værdi 1A 2B 3C 4D optræder ved offset 8 (byte-swapped hvis filen er big-endian). Dette adskiller pcapng fra det ÆLDRE klassiske pcap-format, hvis magic er D4 C3 B2 A1 (little-endian) / A1 B2 C3 D4 (big-endian) ved offset 0. Wireshark detekterer automatisk begge.
Programmer der åbner PCAPNG-filer
Windows3 apps
Wireshark
Open-source Filer > Åbn .pcapng; Wireshark afkoder hvert protokollag og lader dig filtrere, følge strømme og inspicere pakker. 
CapLoader
Betalt Hurtig indlæser til meget store opsamlinger; åbner .pcapng for at sortere flows og derefter sende individuelle flows til Wireshark. 
NetworkMiner
Freemium Åbn .pcapng for at udtrække filer, billeder, legitimationsoplysninger og værtsinfo til retsmedicinsk/sikkerhedsanalyse (gratis udgave tilgængelig). 
macOS1 app
Wireshark
Open-source Filer > Åbn .pcapng; Wireshark afkoder hvert protokollag og lader dig filtrere, følge strømme og inspicere pakker. 
Linux2 apps
Wireshark
Open-source Filer > Åbn .pcapng; Wireshark afkoder hvert protokollag og lader dig filtrere, følge strømme og inspicere pakker. 
tcpdump
Open-source «tcpdump -r fil.pcapng» udskriver pakkerne i terminalen (moderne libpcap læser pcapng).
Web1 app
A-Packets
Gratis Upload en .pcapng for at analysere flows i browseren - brug kun til ikke-følsomme opsamlinger (den forlader din maskine). Tekniske detaljer
dyb specifikation| Magic bytes | 0A 0D 0D 0A ved byte offset 0 (Section Header Block type-identifikator); Byte-Order Magic 1A 2B 3C 4D ved offset 8 inde i SHB bestemmer filens endianness |
| MIME-type | application/x-pcapng |
| Endianness-understøttelse | Både little-endian og big-endian filer er gyldige; læsere detekterer rækkefølgen fra Byte-Order Magic-feltet i Section Header Block |
| Blok-arkitektur | Alle data gemmes i blokke med type- og længdepræfiks; hver blok begynder med et 32-bit typefelt og et 32-bit totallængdefelt, hvilket gør formatet selvbeskrivende og fremtidssikret |
| Multi-interface opsamling | En enkelt fil kan indeholde pakker fra flere netværksinterfaces samtidigt, hver beskrevet af sin egen Interface Description Block (IDB) |
| Tidsstempel-opløsning | Konfigurerbar per interface via IDB-indstillinger; standard er mikrosekund (10⁻⁶ s) præcision; nanosekund (10⁻⁹ s) præcision er også understøttet |
| Kerne-bloktyper | Section Header (SHB), Interface Description (IDB), Enhanced Packet (EPB), Simple Packet (SPB), Name Resolution (NRB), Interface Statistics (ISB), Decryption Secrets (DSB) |
| Blok-indstillinger / TLV-metadata | Hver bloktype understøtter valgfrie TLV-kodede felter til kommentarer, interfacenavne, OS-beskrivelser og brugerdefinerede producentudvidelser |
| Link-layer type kodning | Gemt i hver IDB ved hjælp af libpcap LINKTYPE-koder (f.eks. LINKTYPE_ETHERNET = 1, LINKTYPE_RAW = 101); forskellige interfaces i samme fil kan have forskellige link-typer |
| Decryption Secrets Block (DSB) | Introduceret omkring 2019; indlejrer TLS- eller WireGuard-sessionsnøgler (SSLKEYLOGFILE-kompatibel) direkte i opsamlingen, hvilket muliggør dekryptering direkte i Wireshark |
| Sektions-sammenkædning | Flere Section Header Blocks kan optræde sekventielt i én fil, hvilket gør det muligt at tilføje separate opsamlingssessioner uden genkodning |
| Snapshot-længde (snaplen) | Maksimalt antal bytes opsamlet per pakke er defineret per interface i IDB; typisk 65535 bytes eller 262144 bytes i moderne opsamlingsværktøjer |
| Nativ komprimering | Ikke indbygget i formatet; filer bliver ofte gzip-komprimeret eksternt og refereret med en .pcapng.gz filendelse for at reducere lagerstørrelsen |
| Udgivet | circa 2010 (Wireshark 1.8 made it the default save format in 2012) |
| Åben standard | Ja · royaltyfri |
| Specifikation | www.ietf.org |
PCAPNG-konverteringer
Muligt
.PCAPNG .PCAPGUIDE
Ja, PCAPNG konverteres til PCAP - den hurtigste måde er én kommando: editcap -F pcap in.pcapng out.pcap.
Sådan konverterer du
.PCAPNG .CSVGUIDE
Ja - Wireshark eksporterer pakkedata til CSV med få klik, og tshark gør det samme fra kommandolinjen med fuld…
Sådan konverterer du
.PCAPNG .JSONGUIDE
Ja - kør tshark -r file.pcapng -T json og du får JSON-output med det samme fra kommandolinjen.
Sådan konverterer du
.PCAPNG .TXTGUIDE
Ja, du kan eksportere en PCAPNG-fil til almindelig tekst - den hurtigste måde er én tshark-kommando i en…
Sådan konverterer du
Fællesskabets Q&A
spurgt af brugereIngen spørgsmål endnu - vær den første til at spørge om PCAPNG-filer.
Ofte stillede spørgsmål
Hvordan åbner jeg en PCAPNG-fil?
Brug Wireshark (gratis til Windows, macOS og Linux) - Filer > Åbn .pcapng-filen, og den afkoder hvert protokollag. På Linux/macOS kan du også læse den med «tshark -r fil.pcapng» eller «tcpdump -r fil.pcapng».
Hvad er forskellen på PCAPNG og PCAP?
PCAP er det ældre klassiske libpcap-format; PCAPNG (next generation) er det nyere standardformat i Wireshark, der tilføjer understøttelse af flere interfaces per fil, nanosekund-tidsstempler og kommentarer/metadata per pakke. Wireshark åbner begge.
Hvordan konverterer jeg PCAPNG til PCAP?
I Wireshark vælges Filer > Gem som og vælg «pcap»-formatet, eller kør «editcap -F pcap ind.pcapng ud.pcap». Det er lossy - funktioner der kun findes i pcapng (ekstra interfaces, nanosekund-tider, kommentarer) går tabt.
Hvorfor beder mit værktøj om .pcap, når jeg har en .pcapng?
Ældre eller simplere værktøjer er skrevet til klassisk pcap. Mange læser faktisk pcapng fint på trods af navnet; hvis et værktøj virkelig ikke kan, så konverter med editcap eller Wiresharks «Gem som». Opsamlingsdataene er de samme pakker uanset hvad.
Kan en PCAPNG-fil indeholde adgangskoder eller private data?
Ja - den gemmer den rå trafik, så alle legitimationsoplysninger i klartekst, cookies eller ukrypteret indhold er synlige i pakkerne. Behandl opsamlinger som fortrolige og undgå at uploade følsomme filer til offentlige online-værktøjer.
Hvordan læser jeg en PCAPNG uden at installere software?
Upload den til en browser-baseret analysator som A-Packets - men kun for ikke-følsomme opsamlinger, da filen forlader din maskine. For alt fortroligt bør du installere Wireshark lokalt i stedet.
Referencer
1IETF OPSAWG - PCAP Next Generation (PCAPNG) Capture File Formatwww.ietf.org
2Wireshark Wiki - Development/PcapNgwiki.wireshark.org
