CAP ファイル形式とは？
.cap ファイルは、ネットワークパケットスニッフィングプログラムによって生成されたパケットキャプチャファイルです。これらのファイルはトレースファイルとも呼ばれ、ライブネットワークトラフィックを記録するために多数のパケットアナライザーツールで使用されます。.cap ファイルは、スニッフィングプログラムによって収集された生のネットワークパケットを保存し、後でデータを評価したり、別のツールに完全にロードしたりできるようにします。
.cap 拡張子は曖昧です。多くのツールがこの名前でファイルを書き出しますが、内部レイアウトは異なります。最も一般的なのは、1990年代初頭から tcpdump で使用されている libpcap ライブラリの古典的な .pcap レイアウト（マジックバイトはリトルエンディアンで D4 C3 B2 A1、ビッグエンディアンで A1 B2 C3 D4）です。Microsoft Network Monitor は独自のプロプライエタリなヘッダー（バージョンに応じて GMBU または RTSS）を使用し、NetScout Sniffer はまた別のバイナリレイアウトを生成します。Wireshark は開く際にバリアントを自動検出します。
.cap ファイルは、無料の Wireshark、または Windows では Microsoft Network Monitor（現在はレガシー）を使用してアクセスできます。.cap ファイルをサポートするその他のアプリケーションには、コマンドラインの tcpdump、NetScout の Sniffer Analysis、Klos PacketView Pro などがあります。
セキュリティと安全性
リスク： MEDIUM.cap はパッシブなデータであり実行はできませんが、機密性が高いです。ネットワークキャプチャには、クリアテキストのパスワード、セッションクッキー、内部IP/ホスト名、その他のプライベートなトラフィックが含まれる可能性があります。キャプチャは機密情報として扱い、機密性の高いものを公開オンラインアナライザーにアップロードしないでください。Wi-Fi 監査では、.cap にパスワードクラッキング用の WPA ハンドシェイクが含まれている場合があります。所有していないネットワークでトラフィックをキャプチャすることは違法となる可能性があります。また、拡張子は .cap ですが実際には実行ファイルや別の形式であるファイルにも注意してください。マジックバイトを確認してください。
形式の詳細
概要CAP ファイルを開くプログラム
Windows2 apps
Wireshark
オープンソース 「ファイル」>「開く」で .cap を選択します。Wireshark は libpcap/NetMon/Sniffer 形式を自動検出し、すべてのプロトコルレイヤーをデコードします。 
Microsoft Network Monitor / Message Analyzer (legacy)
無料 自身で作成した .cap キャプチャを開きます。注意：NetMon 3.4 および Message Analyzer は Microsoft によって廃止されました。新しい作業には Wireshark を使用してください。 
macOS1 app
Wireshark
オープンソース 「ファイル」>「開く」で .cap を選択します。Wireshark は libpcap/NetMon/Sniffer 形式を自動検出し、すべてのプロトコルレイヤーをデコードします。 
Linux2 apps
Wireshark
オープンソース 「ファイル」>「開く」で .cap を選択します。Wireshark は libpcap/NetMon/Sniffer 形式を自動検出し、すべてのプロトコルレイヤーをデコードします。 技術的詳細
詳細仕様| フォーマットカテゴリ | バイナリネットワークパケットキャプチャ（トレースファイル） |
| 主要な内部レイアウト | 古典的な libpcap / pcap - 最も一般的なバリアント |
| リトルエンディアンのマジックバイト | バイトオフセット 0 に D4 C3 B2 A1 |
| ビッグエンディアンのマジックバイト | バイトオフセット 0 に A1 B2 C3 D4 |
| Microsoft Network Monitor ヘッダー | GMBU (v1) または RTSS (v2) - プロプライエタリ、libpcap と互換性なし |
| MIME タイプ | application/vnd.tcpdump.pcap |
| 拡張子の曖昧性 | libpcap、Microsoft Network Monitor、NAI/NetScout Sniffer、および無関係なアプリケーションで同じ .cap 名が使用されます。拡張子ではなくマジックバイトで識別してください |
| リンクレイヤータイプフィールド | データリンクメディアを識別する libpcap グローバルヘッダー内の 32ビット整数（例：Ethernet = 1、IEEE 802.11 Wi-Fi = 105） |
| タイムスタンプ解像度 | 古典的な pcap ではマイクロ秒、pcap-ns バリアントではナノ秒（マジック 4D 3C B2 A1 / A1 B2 3C 4D） |
| スナップショット長 (snaplen) | パケットごとに保存されるバイト数の制限。通常は 65535 または 262144 バイトに設定されます |
| パケットごとのレコード構造 | キャプチャタイムスタンプ（秒 + マイクロ秒）、キャプチャされたパケット長、元のワイヤー長、生のパケットバイト |
| 後継フォーマット | .pcapng - インターフェースごとのメタデータ、ブロックコメント、および1つのファイル内での複数のリンクレイヤータイプをサポート |
| バイトオーダー検出 | 開く際にマジックバイトから判断されます。リトルエンディアンとビッグエンディアンの両方のファイルが有効であり、広く使用されています |
| 主な作成ツール | tcpdump / libpcap (Unix/Linux、1990年代初頭)。後に Microsoft Network Monitor を含む Windows スニッファーでも .cap が採用されました |
| リリース日 | libpcap/tcpdump format early 1990s; .cap used by many sniffers |
| オープンスタンダード | はい · ロイヤリティフリー |
| 仕様書 | datatracker.ietf.org |
CAP の変換
コミュニティ Q&A
ユーザーからの質問まだ質問はありません。CAP ファイルについて最初の質問をしてみましょう。
