¿Qué es el formato de archivo CAP?
Un archivo .cap es un archivo de captura de paquetes generado por un programa de rastreo (sniffing) de paquetes de red. Estos archivos también se denominan archivos de traza y son utilizados por numerosas herramientas de análisis de paquetes para registrar el tráfico de red en vivo. Los archivos .cap almacenan paquetes de red sin procesar recopilados por el programa de rastreo para que los datos puedan evaluarse más tarde o cargarse en una herramienta completamente diferente.
La extensión .cap es ambigua: muchas herramientas escriben archivos con este nombre pero con diferentes diseños internos. El más común es el diseño clásico .pcap de la biblioteca libpcap (magic bytes D4 C3 B2 A1 en little-endian o A1 B2 C3 D4 en big-endian), utilizado por tcpdump desde principios de la década de 1990. Microsoft Network Monitor utiliza su propio encabezado propietario (GMBU o RTSS según la versión), mientras que NetScout Sniffer produce otro diseño binario diferente. Wireshark detecta automáticamente la variante al abrirse.
Se puede acceder a los archivos .cap utilizando el programa gratuito Wireshark o, en Windows, Microsoft Network Monitor (ahora heredado). Otras aplicaciones que admiten archivos .cap incluyen tcpdump en la línea de comandos, Sniffer Analysis de NetScout y Klos PacketView Pro, entre otros.
Seguridad y protección
RIESGO: MEDIUMUn .cap son datos pasivos y no se pueden ejecutar, pero son sensibles: una captura de red puede contener contraseñas en texto plano, cookies de sesión, IPs/nombres de host internos y otro tráfico privado; trate las capturas como confidenciales y NO suba las sensibles a analizadores públicos en línea. En auditorías de Wi-Fi, un .cap puede contener un handshake WPA destinado al craqueo de contraseñas; capturar tráfico en redes que no son de su propiedad puede ser ilegal. También tenga cuidado con los archivos que tienen la extensión .cap pero que en realidad son un ejecutable o un formato diferente; verifique los magic bytes.
Detalles del formato
en pocas palabrasProgramas que abren archivos CAP
Windows2 apps
Wireshark
Código abierto Archivo > Abrir el .cap; Wireshark detecta automáticamente los formatos libpcap/NetMon/Sniffer y decodifica cada capa de protocolo. 
Microsoft Network Monitor / Message Analyzer (legacy)
Gratis Abre las capturas .cap que creó. Nota: NetMon 3.4 y Message Analyzer han sido retirados por Microsoft; use Wireshark para trabajos nuevos. 
macOS1 app
Wireshark
Código abierto Archivo > Abrir el .cap; Wireshark detecta automáticamente los formatos libpcap/NetMon/Sniffer y decodifica cada capa de protocolo. 
Linux2 apps
Wireshark
Código abierto Archivo > Abrir el .cap; Wireshark detecta automáticamente los formatos libpcap/NetMon/Sniffer y decodifica cada capa de protocolo.
A-Packets
Gratis Suba un .cap/.pcap para analizarlo en el navegador (úselo solo con capturas que no sean sensibles). Detalles técnicos
especificación profunda| Categoría de formato | Captura binaria de paquetes de red (archivo de traza) |
| Diseño interno principal | libpcap / pcap clásico - variante más común |
| Magic bytes Little-endian | D4 C3 B2 A1 en el desplazamiento de byte 0 |
| Magic bytes Big-endian | A1 B2 C3 D4 en el desplazamiento de byte 0 |
| Encabezado de Microsoft Network Monitor | GMBU (v1) o RTSS (v2) - propietario, incompatible con libpcap |
| Tipo MIME | application/vnd.tcpdump.pcap |
| Ambigüedad de extensión | El mismo nombre .cap es usado por libpcap, Microsoft Network Monitor, NAI/NetScout Sniffer y aplicaciones no relacionadas - identificar por magic bytes, no por extensión |
| Campo de tipo de capa de enlace | Entero de 32 bits en el encabezado global de libpcap que identifica el medio de enlace de datos (ej. Ethernet = 1, IEEE 802.11 Wi-Fi = 105) |
| Resolución de marca de tiempo | Microsegundos en pcap clásico; nanosegundos en la variante pcap-ns (magic 4D 3C B2 A1 / A1 B2 3C 4D) |
| Longitud de instantánea (snaplen) | Límite por archivo de bytes guardados por paquete; comúnmente establecido en 65535 o 262144 bytes |
| Estructura de registro por paquete | Marca de tiempo de captura (segundos + microsegundos), longitud del paquete capturado, longitud original del cable, bytes del paquete sin procesar |
| Formato sucesor | .pcapng - añade metadatos por interfaz, comentarios de bloque y múltiples tipos de capa de enlace en un solo archivo |
| Detección de orden de bytes | Determinado al abrir mediante los magic bytes; tanto los archivos little-endian como big-endian son válidos y de uso extendido |
| Herramienta de origen principal | tcpdump / libpcap (Unix/Linux, principios de los 90), con .cap adoptado posteriormente por sniffers de Windows, incluido Microsoft Network Monitor |
| Lanzado | libpcap/tcpdump format early 1990s; .cap used by many sniffers |
| Estándar abierto | Sí · libre de regalías |
| Especificación | datatracker.ietf.org |
Conversiones de CAP
Preguntas y respuestas de la comunidad
preguntado por usuariosAún no hay preguntas; sea el primero en preguntar sobre los archivos CAP.
