Qu'est-ce que le format de fichier CAP ?
Un fichier .cap est un fichier de capture de paquets généré par un programme de capture réseau (sniffing). Ces fichiers sont également appelés fichiers de trace et sont utilisés par de nombreux outils d'analyse de paquets pour enregistrer le trafic réseau en direct. Les fichiers .cap stockent les paquets réseau bruts collectés par le programme de capture afin que les données puissent être évaluées plus tard, ou chargées dans un outil entièrement différent.
L'extension .cap est ambiguë : de nombreux outils écrivent des fichiers avec ce nom mais des structures internes différentes. La plus courante est la structure classique .pcap de la bibliothèque libpcap (magic bytes D4 C3 B2 A1 en little-endian ou A1 B2 C3 D4 en big-endian), utilisée par tcpdump depuis le début des années 1990. Microsoft Network Monitor utilise son propre en-tête propriétaire (GMBU ou RTSS selon la version), tandis que NetScout Sniffer produit encore une autre structure binaire. Wireshark détecte automatiquement la variante lors de l'ouverture.
Les fichiers .cap sont accessibles via le logiciel gratuit Wireshark ou, sous Windows, Microsoft Network Monitor (désormais obsolète). D'autres applications prenant en charge les fichiers .cap incluent tcpdump en ligne de commande, Sniffer Analysis de NetScout et Klos PacketView Pro, entre autres.
Sécurité et sûreté
RISQUE : MEDIUMUn fichier .cap contient des données passives et ne peut pas s'exécuter, mais il est sensible : une capture réseau peut contenir des mots de passe en texte clair, des cookies de session, des adresses IP/noms d'hôtes internes et d'autres trafics privés - traitez les captures comme confidentielles et ne téléchargez PAS de captures sensibles sur des analyseurs en ligne publics. Dans l'audit Wi-Fi, un .cap peut contenir un handshake WPA destiné au craquage de mot de passe ; capturer du trafic sur des réseaux qui ne vous appartiennent pas peut être illégal. Méfiez-vous également des fichiers qui ont l'extension .cap mais qui sont en réalité un exécutable ou un format différent - vérifiez les magic bytes.
Détails du format
en brefProgrammes qui ouvrent les fichiers CAP
Windows2 apps
Wireshark
Open-source Fichier > Ouvrir le .cap ; Wireshark détecte automatiquement les formats libpcap/NetMon/Sniffer et décode chaque couche de protocole. 
Microsoft Network Monitor / Message Analyzer (legacy)
Gratuit Ouvre les captures .cap qu'il a créées. Note : NetMon 3.4 et Message Analyzer sont retirés par Microsoft - utilisez Wireshark pour les nouveaux travaux. 
macOS1 app
Wireshark
Open-source Fichier > Ouvrir le .cap ; Wireshark détecte automatiquement les formats libpcap/NetMon/Sniffer et décode chaque couche de protocole. 
Linux2 apps
Wireshark
Open-source Fichier > Ouvrir le .cap ; Wireshark détecte automatiquement les formats libpcap/NetMon/Sniffer et décode chaque couche de protocole.
A-Packets
Gratuit Téléchargez un .cap/.pcap pour l'analyser dans le navigateur (à utiliser uniquement avec des captures non sensibles). Détails techniques
spécifications approfondies| Catégorie de format | Capture binaire de paquets réseau (fichier trace) |
| Structure interne principale | libpcap / pcap classique - variante la plus courante |
| Magic bytes Little-endian | D4 C3 B2 A1 à l'offset 0 |
| Magic bytes Big-endian | A1 B2 C3 D4 à l'offset 0 |
| En-tête Microsoft Network Monitor | GMBU (v1) ou RTSS (v2) - propriétaire, incompatible avec libpcap |
| Type MIME | application/vnd.tcpdump.pcap |
| Ambiguïté de l'extension | Même nom .cap utilisé par libpcap, Microsoft Network Monitor, NAI/NetScout Sniffer et des applications non liées - à identifier par les magic bytes, pas par l'extension |
| Champ de type Link-layer | Entier 32 bits dans l'en-tête global libpcap identifiant le support de liaison de données (ex: Ethernet = 1, IEEE 802.11 Wi-Fi = 105) |
| Résolution de l'horodatage | Microsecondes dans le pcap classique ; nanosecondes dans la variante pcap-ns (magic 4D 3C B2 A1 / A1 B2 3C 4D) |
| Longueur de capture (snaplen) | Limite par fichier sur les octets enregistrés par paquet ; généralement fixée à 65535 ou 262144 octets |
| Structure d'enregistrement par paquet | Horodatage de capture (secondes + microsecondes), longueur du paquet capturé, longueur d'origine sur le réseau, octets bruts du paquet |
| Format successeur | .pcapng - ajoute des métadonnées par interface, des commentaires de bloc et plusieurs types de couches de liaison dans un seul fichier |
| Détection de l'ordre des octets | Déterminé à l'ouverture à partir des magic bytes ; les fichiers little-endian et big-endian sont tous deux valides et largement utilisés |
| Outil d'origine principal | tcpdump / libpcap (Unix/Linux, début des années 1990), avec .cap adopté plus tard par les sniffers Windows, y compris Microsoft Network Monitor |
| Publié | libpcap/tcpdump format early 1990s; .cap used by many sniffers |
| Standard ouvert | Oui · libre de droits |
| Spécification | datatracker.ietf.org |
Conversions CAP
Q&R de la communauté
posées par les utilisateursPas encore de questions - soyez le premier à poser une question sur les fichiers CAP.
