¿Qué es el formato de archivo PCAP?
.pcap es un formato de archivo binario utilizado por aplicaciones para el monitoreo del tráfico de red. Un *sniffer* -por ejemplo, Wireshark- captura datos de paquetes en vivo y los guarda en un archivo .pcap. Los archivos PCAP permiten a los usuarios inspeccionar el tráfico de red de una sesión de captura determinada en modo diferido (fuera de línea), a diferencia del modo en tiempo real. Analizar y auditar el tráfico de red es una práctica esencial que facilita la optimización del rendimiento de la red y la prevención de ciberataques.
El formato se origina en el proyecto libpcap/tcpdump y se ha convertido en el estándar de facto para el almacenamiento de capturas de paquetes. Cada archivo comienza con un encabezado global de 24 bytes cuyo número mágico (D4 C3 B2 A1 en orden de bytes little-endian) identifica el archivo y señala el orden de los bytes a las herramientas de lectura. El tipo MIME oficial es application/vnd.tcpdump.pcap. Un sucesor más reciente -.pcapng- añade soporte para múltiples interfaces, bloques de metadatos y comentarios; Wireshark detecta automáticamente ambos formatos al abrirlos.
¿Qué es un sniffer?
Un sniffer es un tipo de herramienta de software que puede capturar y analizar el tráfico de red. La herramienta «escucha» el tráfico en una red determinada cambiando una interfaz de red al modo *promiscuo*, de modo que pueda ver todo el tráfico en esa red, incluidos los datos no dirigidos a esa interfaz en particular. Ejecutar un sniffer en un router o en una computadora conectada a la red no requiere el modo promiscuo. Un *sniffer* también puede referirse a un dispositivo electrónico utilizado para monitorear el tráfico de red.
Wireshark
Wireshark es una herramienta sniffer gratuita y de código abierto disponible para Windows, Linux y macOS. Su amplitud de funciones la ha convertido en la herramienta de análisis de tráfico de red más popular, utilizada tanto por equipos profesionales de TI y seguridad como por usuarios individuales. Ethereal fue el nombre original de esta herramienta hasta mayo de 2006, cuando pasó a llamarse Wireshark. La contraparte de línea de comandos tshark y la clásica herramienta de Unix tcpdump también leen y escriben archivos .pcap de forma nativa, lo que hace que el formato sea compatible universalmente en todas las plataformas.
Seguridad y protección
RIESGO: MEDIUMUn archivo .pcap contiene datos pasivos y no puede ejecutarse, pero es sensible: una captura puede contener contraseñas en texto claro, cookies de sesión, tokens de autenticación, IPs/nombres de host internos y otro tráfico privado. Trate las capturas como confidenciales y NO suba capturas sensibles a analizadores en línea públicos. Capturar tráfico en redes que no son de su propiedad o que no está autorizado a monitorear puede ser ilegal. También verifique que el archivo sea realmente una captura; un archivo con extensión .pcap que no coincida con los bytes mágicos de libpcap/pcapng puede estar mal etiquetado o ser un formato diferente.
Detalles del formato
en pocas palabrasNOMBRE COMPLETOPacket Capture (libpcap) File
DESARROLLADORtcpdump/libpcap project (de-facto standard); used by Wireshark and most sniffersdesde Early 1990s (libpcap/tcpdump); IETF draft standard for the on-disk format
CATEGORÍAArchivos de datos
TIPO MIMEapplication/vnd.tcpdump.pcap
TIPOCaptura binaria de paquetes de red (formato libpcap)
ESTÁNDARAbierto · libre de regalías
MAGIC BYTES · FIRMA DE ARCHIVO
OFFSET
00010203
HEX
D4C3B2A1
ASCII
····
El .pcap clásico de libpcap comienza con el mágico D4 C3 B2 A1 (LE) o A1 B2 C3 D4 (BE); las variantes de precisión de nanosegundos usan 4D 3C B2 A1 / A1 B2 3C 4D. El formato pcapng MÁS NUEVO (a menudo guardado todavía como .pcap o como .pcapng) comienza en su lugar con el mágico de bloque de encabezado de sección 0A 0D 0D 0A. Wireshark detecta automáticamente cuál es al abrirlo.
Programas que abren archivos PCAP
Windows2 apps
Wireshark
Código abierto Archivo > Abrir el .pcap; Wireshark detecta automáticamente si es libpcap o pcapng y decodifica cada capa de protocolo, con filtros y seguimiento de flujo. 
WinDump (legacy)
Gratis Línea de comandos: «windump -r archivo.pcap». Nota: WinDump/WinPcap ya no reciben mantenimiento; use Wireshark/tshark (con Npcap) para trabajos nuevos. 
macOS2 apps
Wireshark
Código abierto Archivo > Abrir el .pcap; Wireshark detecta automáticamente si es libpcap o pcapng y decodifica cada capa de protocolo, con filtros y seguimiento de flujo. 
Linux3 apps
NetworkMiner
Freemium Cargue el .pcap para extraer archivos, credenciales, imágenes y hosts del tráfico (enfocado en informática forense; se ejecuta en Windows y en Linux a través de Mono).
Wireshark / tshark
Código abierto Ábralo en Wireshark, o use «tshark -r archivo.pcap» en la línea de comandos para un volcado de texto.
Web1 app
A-Packets
Gratis Suba un .pcap para analizarlo en el navegador; úselo ÚNICAMENTE con capturas que no sean sensibles. Detalles técnicos
especificación profunda| Estructura del archivo | Encabezado global de 24 bytes seguido de registros de paquetes secuenciales, cada uno con un encabezado por paquete de 16 bytes y datos de trama capturados en bruto |
| Número mágico (little-endian) | 0xD4C3B2A1 en el desplazamiento de byte 0, identificando el archivo y señalando el orden de bytes little-endian a las herramientas de lectura |
| Número mágico (big-endian) | 0xA1B2C3D4 en el desplazamiento de byte 0, utilizado cuando la máquina de captura escribe en orden de bytes big-endian |
| Variantes con resolución de nanosegundos | El mágico 0x4D3CB2A1 (LE) o 0xA1B23C4D (BE) marca archivos donde las marcas de tiempo se almacenan en nanosegundos en lugar de microsegundos |
| Codificación de marca de tiempo | Dos enteros de 32 bits por paquete: segundos desde la época Unix y microsegundos (o nanosegundos en la variante de precisión ns) |
| Campo Snaplen | Campo de encabezado global de 32 bits que limita el máximo de bytes guardados por paquete; el valor de captura predeterminado es 65535 bytes |
| Campo de red (tipo de capa de enlace) | Código de 32 bits en el encabezado global que identifica la capa de enlace de datos: 1 = Ethernet, 105 = IEEE 802.11 Wi-Fi, 113 = captura cocinada de Linux |
| Campos de encabezado por paquete | ts_sec, ts_usec/ts_nsec, incl_len (bytes realmente guardados), orig_len (longitud original del paquete en el cable) |
| Tipo MIME | application/vnd.tcpdump.pcap |
| Detección del orden de bytes | Totalmente automática: las herramientas leen el número mágico en el desplazamiento 0 para determinar la endianidad sin intervención del usuario |
| Formato sucesor | .pcapng (PCAP Next Generation) añade soporte para múltiples interfaces, bloques de metadatos, comentarios de paquetes y registros de paquetes mejorados |
| Compresión | El formato no está comprimido por diseño; los archivos se distribuyen comúnmente como .pcap.gz (gzip) o .pcap.xz para almacenamiento y transferencia |
| Herramientas de captura principales | tcpdump (línea de comandos, Unix/Windows); tshark (línea de comandos multiplataforma); Wireshark (GUI) |
| Límite de tamaño de archivo | Sin máximo impuesto por el formato; limitado solo por los límites del sistema de archivos del sistema operativo y el almacenamiento disponible |
| Lanzado | Early 1990s (libpcap/tcpdump); IETF draft standard for the on-disk format |
| Estándar abierto | Sí · libre de regalías |
| Especificación | datatracker.ietf.org |
Conversiones de PCAP
Posible
.PCAP .TXTGUÍA
Sí, puede exportar un archivo PCAP como texto plano; la forma más rápida es la exportación integrada de…
Cómo convertir
.PCAP .PCAPNGGUÍA
Sí - abra el archivo en Wireshark y use Archivo > Guardar como, seleccionando el formato pcapng; toma menos…
Cómo convertir
.PCAP .CSVGUÍA
Sí: la forma más rápida es la exportación integrada de Wireshark: File > Export Packet Dissections > As CSV.
Cómo convertir
Preguntas y respuestas de la comunidad
preguntado por usuarios
Л
Preguntas frecuentes
¿Cómo abro un archivo PCAP?
Ábralo en Wireshark (gratuito para Windows, macOS y Linux), que decodifica cada capa de protocolo. En la línea de comandos puede leerlo con «tcpdump -r archivo.pcap» o «tshark -r archivo.pcap».
¿Cuál es la diferencia entre .pcap y .pcapng?
pcapng es el formato más nuevo con soporte para múltiples interfaces, comentarios y metadatos más ricos, y es el predeterminado de Wireshark. El .pcap clásico (libpcap) es más simple y tiene una compatibilidad más amplia. Wireshark abre ambos; puede convertir entre ellos con editcap.
¿Cuál es la diferencia entre .pcap y .cap?
Normalmente ninguna; ambos suelen contener el formato de captura libpcap y Wireshark abre cualquiera de los dos; a menudo basta con cambiar el nombre de uno por el otro. «.cap» también es utilizado por Microsoft Network Monitor y algunos programas que no son de red, por lo que es un poco más ambiguo.
¿Puede un archivo PCAP contener contraseñas?
Sí; si el tráfico capturado utilizó protocolos de texto claro, las credenciales pueden ser visibles en los paquetes. Trate las capturas como confidenciales y evite subir capturas sensibles a herramientas públicas.
¿Cómo convierto un PCAP a CSV o texto?
En Wireshark: Archivo > Exportar disecciones de paquetes > Como CSV o Como texto plano. En la línea de comandos, tshark puede extraer campos: «tshark -r archivo.pcap -T fields -e ...».
¿Cómo leo un PCAP sin Wireshark?
Use tcpdump o tshark en la línea de comandos («tcpdump -r archivo.pcap»), NetworkMiner para la extracción forense de archivos/credenciales, o una herramienta de navegador como A-Packets para capturas que no sean sensibles.
Referencias
1IETF - PCAP Capture File Format (draft)datatracker.ietf.org
2IETF - PCAP Next Generation (pcapng) formatdatatracker.ietf.org
