O que é o formato de ficheiro CAP?
Um arquivo .cap é um arquivo de captura de pacotes gerado por um programa de monitoramento de rede (sniffing). Esses arquivos também são chamados de arquivos de rastreamento (trace files) e são usados por inúmeras ferramentas de análise de pacotes para registrar o tráfego de rede ao vivo. Os arquivos .cap armazenam pacotes de rede brutos coletados pelo programa de monitoramento para que os dados possam ser avaliados posteriormente ou carregados em uma ferramenta totalmente diferente.
A extensão .cap é ambígua: muitas ferramentas gravam arquivos com este nome, mas com layouts internos diferentes. O mais comum é o layout clássico .pcap da biblioteca libpcap (magic bytes D4 C3 B2 A1 little-endian ou A1 B2 C3 D4 big-endian), usado pelo tcpdump desde o início dos anos 1990. O Microsoft Network Monitor usa seu próprio cabeçalho proprietário (GMBU ou RTSS dependendo da versão), enquanto o NetScout Sniffer produz outro layout binário. O Wireshark detecta automaticamente a variante ao abrir.
Arquivos .cap podem ser acessados usando o Wireshark gratuito ou, no Windows, o Microsoft Network Monitor (agora legado). Outros aplicativos que suportam arquivos .cap incluem o tcpdump via linha de comando, o Sniffer Analysis da NetScout e o Klos PacketView Pro, entre outros.
Segurança e proteção
RISCO: MEDIUMUm .cap contém dados passivos e não pode ser executado, mas é sensível: uma captura de rede pode conter senhas em texto simples, cookies de sessão, IPs/hostnames internos e outro tráfego privado - trate as capturas como confidenciais e NÃO envie arquivos sensíveis para analisadores online públicos. Em auditoria de Wi-Fi, um .cap pode conter um handshake WPA destinado à quebra de senha; capturar tráfego em redes que não lhe pertencem pode ser ilegal. Também cuidado com arquivos que possuem a extensão .cap mas são, na verdade, executáveis ou um formato diferente - verifique os magic bytes.
Detalhes do formato
em resumoProgramas que abrem arquivos CAP
Windows2 apps
Wireshark
Código aberto Arquivo > Abrir o .cap; o Wireshark detecta automaticamente os formatos libpcap/NetMon/Sniffer e decodifica cada camada de protocolo. 
Microsoft Network Monitor / Message Analyzer (legacy)
Gratuito Abre capturas .cap que ele mesmo criou. Nota: NetMon 3.4 e Message Analyzer foram descontinuados pela Microsoft - use o Wireshark para novos trabalhos. 
macOS1 app
Wireshark
Código aberto Arquivo > Abrir o .cap; o Wireshark detecta automaticamente os formatos libpcap/NetMon/Sniffer e decodifica cada camada de protocolo. 
Linux2 apps
Wireshark
Código aberto Arquivo > Abrir o .cap; o Wireshark detecta automaticamente os formatos libpcap/NetMon/Sniffer e decodifica cada camada de protocolo.
A-Packets
Gratuito Envie um .cap/.pcap para analisá-lo no navegador (use apenas com capturas não confidenciais). Detalhes técnicos
especificação profunda| Categoria do formato | Captura binária de pacotes de rede (arquivo de rastreamento) |
| Layout interno primário | libpcap / pcap clássico - variante mais comum |
| Magic bytes Little-endian | D4 C3 B2 A1 no deslocamento de byte 0 |
| Magic bytes Big-endian | A1 B2 C3 D4 no deslocamento de byte 0 |
| Cabeçalho do Microsoft Network Monitor | GMBU (v1) ou RTSS (v2) - proprietário, incompatível com libpcap |
| Tipo MIME | application/vnd.tcpdump.pcap |
| Ambiguidade da extensão | O mesmo nome .cap é usado por libpcap, Microsoft Network Monitor, NAI/NetScout Sniffer e aplicativos não relacionados - identifique pelos magic bytes, não pela extensão |
| Campo de tipo de camada de enlace | Inteiro de 32 bits no cabeçalho global libpcap identificando o meio de enlace de dados (ex: Ethernet = 1, IEEE 802.11 Wi-Fi = 105) |
| Resolução do carimbo de data/hora | Microssegundos no pcap clássico; nanossegundos na variante pcap-ns (magic 4D 3C B2 A1 / A1 B2 3C 4D) |
| Comprimento do instantâneo (snaplen) | Limite por arquivo de bytes salvos por pacote; comumente definido para 65535 ou 262144 bytes |
| Estrutura de registro por pacote | Carimbo de data/hora da captura (segundos + microssegundos), comprimento do pacote capturado, comprimento original na rede, bytes brutos do pacote |
| Formato sucessor | .pcapng - adiciona metadados por interface, comentários de bloco e múltiplos tipos de camada de enlace em um único arquivo |
| Detecção de ordem de bytes | Determinada na abertura a partir dos magic bytes; arquivos little-endian e big-endian são válidos e amplamente utilizados |
| Ferramenta de origem primária | tcpdump / libpcap (Unix/Linux, início dos anos 1990), com .cap posteriormente adotado por sniffers de Windows, incluindo o Microsoft Network Monitor |
| Lançado | libpcap/tcpdump format early 1990s; .cap used by many sniffers |
| Padrão aberto | Sim · livre de royalties |
| Especificação | datatracker.ietf.org |
Conversões de CAP
Perguntas e Respostas da Comunidade
perguntado por usuáriosAinda não há perguntas - seja o primeiro a perguntar sobre arquivos CAP.
