Hva er PCAPNG-filformatet?
En .pcapng-fil inneholder datapakker fanget over et nettverk, lagret i formatet PCAP Next Generation (PCAPNG). Datapakkene som er lagret i en .pcapng-fil brukes av applikasjoner for nettverksprotokollanalyse, som Wireshark, for å overvåke og administrere nettverkstrafikk. PCAPNG erstatter det eldre .pcap-formatet og ble standard lagringsformat i Wireshark fra versjon 1.8 (2012).
Formatet organiserer data i flere typede blokker i et strukturert format. Viktige blokktyper inkluderer:
- Section Header Block (SHB) - åpner en fangstseksjon; inkluderer Byte-Order Magic (
1A 2B 3C 4D) for automatisk deteksjon av endianness - Interface Description Block (IDB) - registrerer link-layer-type og grensesnitt-metadata for hver fangstkilde
- Enhanced Packet Block (EPB) - lagrer individuelle rammer med presise tidsstempler og valgfrie flagg per pakke
- Name Resolution Block (NRB) - kobler IP-adresser til vertsnavn
- Interface Statistics Block (ISB) - inneholder fangststatistikk per grensesnitt
Informasjon lagret på tvers av disse blokkene kan brukes til å rekonstruere de fangede dataene. Filen identifiseres av magic bytes 0A 0D 0D 0A ved offset 0; den registrerte MIME-typen er application/x-pcapng.
Sikkerhet og trygghet
RISIKO: MEDIUMEn pcapng-fil er passive data og kan ikke kjøre av seg selv, men den er sensitiv: et opptak kan inneholde passord i klartekst, sesjonskapsler/tokener, interne IP-adresser og vertsnavn, samt fullstendig innhold fra ukryptert trafikk. Behandle opptak som konfidensielle - IKKE last opp sensitive filer til offentlige nettanalysatorer, og rens dataene før deling. Fangst av trafikk på nettverk du ikke eier eller administrerer kan være ulovlig. Det finnes også en sekundær teknisk risiko: historisk har feil i analysevertøy (inkludert Wireshark-dissektorer) blitt utnyttet av spesiallagde fangstfiler, så hold Wireshark oppdatert og vær forsiktig med å åpne opptak fra ukjente kilder.
Formatdetaljer
i et nøtteskallFULLT NAVNPCAP Next Generation Capture File
UTVIKLERWireshark / IETF OPSAWG (community standard)siden circa 2010 (Wireshark 1.8 made it the default save format in 2012)
KATEGORIDatafiler
MIME-TYPEapplication/x-pcapng
TYPEBinær nettverkspakkefangst (blokkstrukturert)
STANDARDÅpen · royalty-fri
MAGIC BYTES · FILSIGNATUR
OFFSET
00010203
HEX
0A0D0D0A
ASCII
····
En pcapng-fil starter med en Section Header Block: de første 4 bytene er blokktypen 0A 0D 0D 0A, etterfulgt av blokkens totale lengde, og en Byte-Order Magic-verdi 1A 2B 3C 4D ved offset 8 (byte-byttet hvis filen er big-endian). Dette skiller pcapng fra det ELDRE klassiske pcap-formatet, som har magic bytes D4 C3 B2 A1 (little-endian) / A1 B2 C3 D4 (big-endian) ved offset 0. Wireshark oppdager begge automatisk.
Programmer som åpner PCAPNG-filer
Windows3 apps
Wireshark
Åpen kildekode Fil > Åpne .pcapng; Wireshark dekoder hvert protokollag og lar deg filtrere, følge strømmer og inspisere pakker. 
CapLoader
Betalt Rask laster for svært store opptak; åpner .pcapng for å sortere strømmer, og sender deretter individuelle strømmer videre til Wireshark. 
NetworkMiner
Freemium Åpne .pcapng for å trekke ut filer, bilder, påloggingsdetaljer og vertsinformasjon for rettsteknisk/sikkerhetsanalyse (gratisversjon tilgjengelig). 
macOS1 app
Wireshark
Åpen kildekode Fil > Åpne .pcapng; Wireshark dekoder hvert protokollag og lar deg filtrere, følge strømmer og inspisere pakker. 
Linux2 apps
Wireshark
Åpen kildekode Fil > Åpne .pcapng; Wireshark dekoder hvert protokollag og lar deg filtrere, følge strømmer og inspisere pakker. 
tcpdump
Åpen kildekode «tcpdump -r fil.pcapng» skriver ut pakkene i terminalen (moderne libpcap leser pcapng).
Web1 app
A-Packets
Gratis Last opp en .pcapng for å analysere strømmer i nettleseren - bruk kun med ikke-sensitive opptak (filen forlater maskinen din). Tekniske detaljer
dyp spesifikasjon| Magic bytes | 0A 0D 0D 0A ved byte-offset 0 (identifikator for Section Header Block-type); Byte-Order Magic 1A 2B 3C 4D ved offset 8 inne i SHB bestemmer filens endianness |
| MIME-type | application/x-pcapng |
| Støtte for endianness | Både little-endian og big-endian filer er gyldige; lesere oppdager rekkefølgen fra Byte-Order Magic-feltet i Section Header Block |
| Blokkarkitektur | Alle data lagres i typede blokker med lengdeprefiks; hver blokk starter med et 32-bit typefelt og et 32-bit felt for total lengde, noe som gjør formatet selvbeskrivende og fremtidsrettet |
| Fangst fra flere grensesnitt | En enkelt fil kan inneholde pakker fra flere nettverksgrensesnitt samtidig, der hver beskrives av sin egen Interface Description Block (IDB) |
| Tidsoppløsning | Konfigurerbar per grensesnitt via IDB-valg; standard er mikrosekund (10⁻⁶ s) presisjon; nanosekund (10⁻⁹ s) presisjon støttes også |
| Kjerneblokktyper | Section Header (SHB), Interface Description (IDB), Enhanced Packet (EPB), Simple Packet (SPB), Name Resolution (NRB), Interface Statistics (ISB), Decryption Secrets (DSB) |
| Blokkvalg / TLV-metadata | Hver blokktype støtter valgfrie TLV-kodede felt for kommentarer, grensesnittnavn, OS-beskrivelser og egne leverandørutvidelser |
| Link-layer type-koding | Lagret i hver IDB ved bruk av libpcap LINKTYPE-koder (f.eks. LINKTYPE_ETHERNET = 1, LINKTYPE_RAW = 101); ulike grensesnitt i samme fil kan ha ulike link-typer |
| Decryption Secrets Block (DSB) | Introdusert rundt 2019; bygger inn TLS- eller WireGuard-sesjonsnøkler (SSLKEYLOGFILE-kompatibel) direkte i fangsten, noe som muliggjør dekryptering i filen i Wireshark |
| Seksjonssammenslåing | Flere Section Header Blocks kan opptre sekvensielt i én fil, noe som gjør det mulig å legge til separate fangstøkter uten å kode om |
| Snapshot-lengde (snaplen) | Maksimalt antall byte fanget per pakke er definert per grensesnitt i IDB; vanligvis 65535 byte eller 262144 byte i moderne fangstverktøy |
| Innebygd komprimering | Ikke innebygd i formatet; filer blir vanligvis gzip-komprimert eksternt og referert til med filendelsen .pcapng.gz for å redusere lagringsstørrelsen |
| Utgitt | circa 2010 (Wireshark 1.8 made it the default save format in 2012) |
| Åpen standard | Ja · royalty-fri |
| Spesifikasjon | www.ietf.org |
PCAPNG-konverteringer
Mulig
.PCAPNG .PCAPGUIDE
Ja, PCAPNG konverteres til PCAP - den raskeste måten er én kommando: editcap -F pcap in.pcapng out.pcap.
Hvordan konvertere
.PCAPNG .CSVGUIDE
Ja - Wireshark eksporterer pakkedata til CSV med noen få klikk, og tshark gjør det samme fra kommandolinjen…
Hvordan konvertere
.PCAPNG .JSONGUIDE
Ja - kjør tshark -r file.pcapng -T json så får du JSON-utdata umiddelbart fra kommandolinjen.
Hvordan konvertere
.PCAPNG .TXTGUIDE
Ja, du kan eksportere en PCAPNG-fil til ren tekst - den raskeste måten er én tshark-kommando i en terminal,…
Hvordan konvertere
Spørsmål og svar fra fellesskapet
spurt av brukereIngen spørsmål ennå - vær den første til å spørre om PCAPNG-filer.
Ofte stilte spørsmål
Hvordan åpner jeg en PCAPNG-fil?
Bruk Wireshark (gratis for Windows, macOS og Linux) - Fil > Åpne .pcapng-filen, og den dekoder hvert protokollag. På Linux/macOS kan du også lese den med «tshark -r fil.pcapng» eller «tcpdump -r fil.pcapng».
Hva er forskjellen mellom PCAPNG og PCAP?
PCAP er det eldre klassiske libpcap-formatet; PCAPNG (neste generasjon) er det nyere standardformatet i Wireshark som støtter flere grensesnitt per fil, nanosekund-tidsstempler og kommentarer/metadata per pakke. Wireshark åpner begge.
Hvordan konverterer jeg PCAPNG til PCAP?
I Wireshark velger du Fil > Lagre som og velger «pcap»-formatet, eller kjør «editcap -F pcap inn.pcapng ut.pcap». Dette medfører tap av data - funksjoner som kun finnes i pcapng (ekstra grensesnitt, nanosekund-tider, kommentarer) blir fjernet.
Hvorfor ber verktøyet mitt om .pcap når jeg har en .pcapng?
Eldre eller enklere verktøy ble skrevet for klassisk pcap. Mange leser faktisk pcapng helt fint til tross for navnet; hvis et verktøy virkelig ikke støtter det, konverter med editcap eller Wiresharks «Lagre som». Selve fangstdataene er de samme pakkene uansett.
Kan en PCAPNG-fil inneholde passord eller private data?
Ja - den lagrer råtrafikken, så alle påloggingsdetaljer i klartekst, informasjonskapsler eller ukryptert innhold er synlig i pakkene. Behandle opptak som konfidensielle og unngå å laste opp sensitive filer til offentlige nettverktøy.
Hvordan kan jeg lese en PCAPNG uten å installere programvare?
Last den opp til en nettleserbasert analysator som A-Packets - men bare for ikke-sensitive opptak, siden filen forlater maskinen din. For alt som er konfidensielt, bør du installere Wireshark lokalt i stedet.
Referanser
1IETF OPSAWG - PCAP Next Generation (PCAPNG) Capture File Formatwww.ietf.org
2Wireshark Wiki - Development/PcapNgwiki.wireshark.org
