Что такое формат файла CAP?
Файл .cap - это файл захвата пакетов, созданный программой для сниффинга сетевого трафика. Эти файлы также называют файлами трассировки; они используются многочисленными инструментами анализа пакетов для записи сетевого трафика в реальном времени. Файлы .cap хранят необработанные сетевые пакеты, собранные программой-сниффером, чтобы данные можно было оценить позже или загрузить в другой инструмент.
Расширение .cap неоднозначно: многие инструменты записывают файлы с этим именем, но с разной внутренней структурой. Наиболее распространенным является классический формат .pcap из библиотеки libpcap (магические байты D4 C3 B2 A1 в порядке от младшего к старшему или A1 B2 C3 D4 от старшего к младшему), используемый tcpdump с начала 1990-х годов. Microsoft Network Monitor использует собственный проприетарный заголовок (GMBU или RTSS в зависимости от версии), в то время как NetScout Sniffer создает еще одну бинарную структуру. Wireshark автоматически определяет вариант при открытии.
Файлы .cap можно открыть с помощью бесплатного Wireshark или, в Windows, Microsoft Network Monitor (ныне устаревший). Другие приложения, поддерживающие файлы .cap, включают tcpdump для командной строки, NetScout Sniffer Analysis, Klos PacketView Pro и другие.
Безопасность и защита
РИСК: MEDIUMФайл .cap представляет собой пассивные данные и не может исполняться, но он чувствителен: сетевой захват может содержать пароли в открытом виде, сессионные куки, внутренние IP-адреса/имена хостов и другой частный трафик - относитесь к захватам как к конфиденциальной информации и НЕ загружайте чувствительные данные в публичные онлайн-анализаторы. При аудите Wi-Fi файл .cap может содержать рукопожатие WPA, предназначенное для взлома пароля; захват трафика в сетях, которыми вы не владеете, может быть незаконным. Также остерегайтесь файлов с расширением .cap, которые на самом деле являются исполняемыми файлами или имеют другой формат - проверяйте магические байты.
Детали формата
в двух словахПрограммы, открывающие файлы CAP
Windows2 apps
Wireshark
Открытый код File > Open для открытия .cap; Wireshark автоматически определяет форматы libpcap/NetMon/Sniffer и декодирует каждый уровень протокола. 
Microsoft Network Monitor / Message Analyzer (legacy)
Бесплатно Открывает захваты .cap, созданные в этой программе. Примечание: NetMon 3.4 и Message Analyzer сняты с поддержки Microsoft - используйте Wireshark для новых задач. 
macOS1 app
Wireshark
Открытый код File > Open для открытия .cap; Wireshark автоматически определяет форматы libpcap/NetMon/Sniffer и декодирует каждый уровень протокола. 
Linux2 apps
Wireshark
Открытый код File > Open для открытия .cap; Wireshark автоматически определяет форматы libpcap/NetMon/Sniffer и декодирует каждый уровень протокола.
A-Packets
Бесплатно Загрузите .cap/.pcap для анализа в браузере (используйте только для неконфиденциальных захватов). Технические подробности
глубокая спецификация| Категория формата | Бинарный захват сетевых пакетов (файл трассировки) |
| Основная внутренняя структура | Классический libpcap / pcap - наиболее распространенный вариант |
| Магические байты (Little-endian) | D4 C3 B2 A1 со смещением 0 |
| Магические байты (Big-endian) | A1 B2 C3 D4 со смещением 0 |
| Заголовок Microsoft Network Monitor | GMBU (v1) или RTSS (v2) - проприетарный, несовместим с libpcap |
| MIME-тип | application/vnd.tcpdump.pcap |
| Неоднозначность расширения | Имя .cap используется libpcap, Microsoft Network Monitor, NAI/NetScout Sniffer и несвязанными приложениями - идентифицируйте по магическим байтам, а не по расширению |
| Поле типа канального уровня | 32-битное целое число в глобальном заголовке libpcap, идентифицирующее среду передачи данных (например, Ethernet = 1, IEEE 802.11 Wi-Fi = 105) |
| Разрешение временных меток | Микросекунды в классическом pcap; наносекунды в варианте pcap-ns (магия 4D 3C B2 A1 / A1 B2 3C 4D) |
| Длина снимка (snaplen) | Ограничение на количество байтов, сохраняемых для каждого пакета; обычно устанавливается в 65535 или 262144 байт |
| Структура записи пакета | Метка времени захвата (секунды + микросекунды), длина захваченного пакета, исходная длина в сети, необработанные байты пакета |
| Формат-преемник | .pcapng - добавляет метаданные интерфейса, комментарии к блокам и несколько типов канального уровня в одном файле |
| Определение порядка байтов | Определяется при открытии по магическим байтам; файлы как с прямым, так и с обратным порядком байтов являются допустимыми и широко используются |
| Основной инструмент создания | tcpdump / libpcap (Unix/Linux, начало 1990-х), позже расширение .cap было принято снифферами для Windows, включая Microsoft Network Monitor |
| Выпущен | libpcap/tcpdump format early 1990s; .cap used by many sniffers |
| Открыть стандартное | Да · без роялти |
| Спецификация | datatracker.ietf.org |
Конвертации CAP
Вопросы и ответы сообщества
спрошено пользователямиВопросов пока нет - станьте первым, кто спросит о файлах CAP.
