Was ist das CAP-Dateiformat?
Eine .cap-Datei ist eine Paketmitschnitt-Datei, die von einem Netzwerk-Paket-Sniffer erstellt wird. Diese Dateien werden auch als Trace-Dateien bezeichnet und von zahlreichen Paketanalyse-Tools verwendet, um den Netzwerkverkehr live aufzuzeichnen. .cap-Dateien speichern rohe Netzwerkpakete, die vom Sniffer erfasst wurden, damit die Daten später ausgewertet oder in ein anderes Tool geladen werden können.
Die Erweiterung .cap ist mehrdeutig: Viele Tools schreiben Dateien mit diesem Namen, aber unterschiedlichen internen Strukturen. Die häufigste ist das klassische .pcap-Layout der libpcap-Bibliothek (Magic Bytes D4 C3 B2 A1 Little-Endian oder A1 B2 C3 D4 Big-Endian), das von tcpdump seit den frühen 1990er-Jahren verwendet wird. Microsoft Network Monitor verwendet einen eigenen proprietären Header (GMBU oder RTSS je nach Version), während NetScout Sniffer eine weitere binäre Struktur erzeugt. Wireshark erkennt die Variante beim Öffnen automatisch.
.cap-Dateien können mit dem kostenlosen Wireshark oder unter Windows mit Microsoft Network Monitor (mittlerweile veraltet) geöffnet werden. Weitere Anwendungen, die .cap-Dateien unterstützen, sind tcpdump in der Befehlszeile, NetScout Sniffer Analysis und Klos PacketView Pro.
Sicherheit
RISIKO: MEDIUMEine .cap-Datei ist passiver Inhalt und kann nicht ausgeführt werden, aber sie ist sensibel: Ein Netzwerkmitschnitt kann Klartextpasswörter, Sitzungs-Cookies, interne IP-Adressen/Hostnamen und anderen privaten Datenverkehr enthalten - behandeln Sie Mitschnitte als vertraulich und laden Sie sensible Dateien NICHT in öffentliche Online-Analysedienste hoch. Bei WLAN-Audits kann eine .cap-Datei einen WPA-Handshake für das Passwort-Cracking enthalten; das Abfangen von Datenverkehr in Netzwerken, die Ihnen nicht gehören, kann illegal sein. Achten Sie außerdem auf Dateien, die als .cap benannt sind, aber tatsächlich eine ausführbare Datei oder ein anderes Format sind - überprüfen Sie die Magic Bytes.
Formatdetails
kurz gefasstProgramme zum Öffnen von CAP-Dateien
Windows2 apps
Wireshark
Open Source Datei > Öffnen der .cap-Datei; Wireshark erkennt libpcap/NetMon/Sniffer-Formate automatisch und dekodiert jede Protokollschicht. 
Microsoft Network Monitor / Message Analyzer (legacy)
Kostenlos Öffnet erstellte .cap-Mitschnitte. Hinweis: NetMon 3.4 und Message Analyzer wurden von Microsoft eingestellt - verwenden Sie für neue Arbeiten Wireshark. 
macOS1 app
Wireshark
Open Source Datei > Öffnen der .cap-Datei; Wireshark erkennt libpcap/NetMon/Sniffer-Formate automatisch und dekodiert jede Protokollschicht. 
Linux2 apps
Wireshark
Open Source Datei > Öffnen der .cap-Datei; Wireshark erkennt libpcap/NetMon/Sniffer-Formate automatisch und dekodiert jede Protokollschicht.
A-Packets
Kostenlos Eine .cap-/.pcap-Datei hochladen, um sie im Browser zu analysieren (nur mit nicht sensiblen Mitschnitten verwenden). Technische Details
technische Spezifikation| Formatkategorie | Binärer Netzwerk-Paketmitschnitt (Trace-Datei) |
| Primäres internes Layout | Klassisches libpcap / pcap - häufigste Variante |
| Little-Endian Magic Bytes | D4 C3 B2 A1 an Byte-Offset 0 |
| Big-Endian Magic Bytes | A1 B2 C3 D4 an Byte-Offset 0 |
| Microsoft Network Monitor-Header | GMBU (v1) oder RTSS (v2) - proprietär, nicht kompatibel mit libpcap |
| MIME-Typ | application/vnd.tcpdump.pcap |
| Erweiterungsmehrdeutigkeit | Derselbe .cap-Name wird von libpcap, Microsoft Network Monitor, NAI/NetScout Sniffer und nicht verwandten Anwendungen verwendet - Identifikation anhand der Magic Bytes, nicht der Erweiterung |
| Daten-Link-Typ-Feld | 32-Bit-Integer im globalen libpcap-Header, der das Daten-Link-Medium identifiziert (z. B. Ethernet = 1, IEEE 802.11 Wi-Fi = 105) |
| Zeitstempelauflösung | Mikrosekunden im klassischen pcap; Nanosekunden in der pcap-ns-Variante (Magic 4D 3C B2 A1 / A1 B2 3C 4D) |
| Snapshot-Länge (snaplen) | Dateiweite Begrenzung der gespeicherten Bytes pro Paket; häufig auf 65535 oder 262144 Bytes eingestellt |
| Paketdatensatzstruktur | Erfassungszeitstempel (Sekunden + Mikrosekunden), Länge des erfassten Pakets, ursprüngliche Leitungslänge, rohe Paketbytes |
| Nachfolgeformat | .pcapng - fügt Metadaten pro Schnittstelle, Block-Kommentare und mehrere Daten-Link-Typen in einer Datei hinzu |
| Byte-Reihenfolge-Erkennung | Wird beim Öffnen anhand der Magic Bytes bestimmt; sowohl Little-Endian- als auch Big-Endian-Dateien sind gültig und weit verbreitet |
| Primäres Ursprungs-Tool | tcpdump / libpcap (Unix/Linux, Anfang der 1990er), mit .cap später von Windows-Sniffern einschließlich Microsoft Network Monitor übernommen |
| Veröffentlicht | libpcap/tcpdump format early 1990s; .cap used by many sniffers |
| Offener Standard | Ja · lizenzgebührenfrei |
| Spezifikation | datatracker.ietf.org |
CAP-Konvertierungen
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu CAP-Dateien.
