Что такое формат файла PCAP?
.pcap - это бинарный формат файлов, используемый приложениями для мониторинга сетевого трафика. *Сниффер* - например, Wireshark - захватывает данные пакетов в реальном времени и сохраняет их в файл .pcap. Файлы PCAP позволяют пользователям проверять сетевой трафик для данной сессии захвата в автономном режиме, в отличие от режима реального времени. Анализ и аудит сетевого трафика является важной практикой, которая способствует оптимизации производительности сети и предотвращению кибератак.
Формат происходит из проекта libpcap/tcpdump и стал стандартом де-факто для хранения захваченных пакетов. Каждый файл начинается с 24-байтового глобального заголовка, чье магическое число (D4 C3 B2 A1 в порядке байтов little-endian) идентифицирует файл и сообщает порядок байтов инструментам чтения. Официальный MIME-тип - application/vnd.tcpdump.pcap. Более современный преемник - .pcapng - добавляет поддержку нескольких интерфейсов, блоков метаданных и комментариев; Wireshark автоматически определяет оба формата при открытии.
Что такое сниффер?
Сниффер - это тип программного инструмента, который может захватывать и анализировать сетевой трафик. Инструмент «слушает» сетевой трафик в данной сети, переводя сетевой интерфейс в *смешанный* режим (promiscuous mode), чтобы он мог видеть весь трафик в этой сети, включая данные, не адресованные этому конкретному интерфейсу. Запуск сниффера на роутере или компьютере, подключенном к сети, не требует смешанного режима. *Сниффер* также может относиться к электронному устройству, используемому для мониторинга сетевого трафика.
Wireshark
Wireshark - это бесплатный сниффер с открытым исходным кодом, доступный для Windows, Linux и macOS. Широта его функций сделала его самым популярным инструментом для анализа сетевого трафика, используемым профессиональными ИТ-командами и специалистами по безопасности, а также индивидуальными пользователями. Ethereal был первоначальным названием этого инструмента до мая 2006 года, когда он был переименован в Wireshark. Аналог для командной строки tshark и классический инструмент Unix tcpdump также нативно читают и записывают файлы .pcap, что делает формат универсально поддерживаемым на всех платформах.
Безопасность и защита
РИСК: MEDIUMФайл .pcap представляет собой пассивные данные и не может исполняться, но он чувствителен: дамп может содержать открытые пароли, сессионные куки, токены аутентификации, внутренние IP-адреса/имена хостов и другой частный трафик. Относитесь к дампам как к конфиденциальным и НЕ загружайте важные файлы в публичные онлайн-анализаторы. Захват трафика в сетях, которые вам не принадлежат или которые вы не уполномочены контролировать, может быть незаконным. Также убедитесь, что файл действительно является дампом - файл с расширением .pcap, который не соответствует магическим байтам libpcap/pcapng, может быть помечен неверно или иметь другой формат.
Детали формата
в двух словахПОЛНОЕ НАЗВАНИЕPacket Capture (libpcap) File
РАЗРАБОТЧИКtcpdump/libpcap project (de-facto standard); used by Wireshark and most sniffersс Early 1990s (libpcap/tcpdump); IETF draft standard for the on-disk format
КАТЕГОРИЯФайлы данных
MIME-ТИПapplication/vnd.tcpdump.pcap
ТИПБинарный захват сетевых пакетов (формат libpcap)
СТАНДАРТОткрытый · без роялти
MAGIC BYTES · СИГНАТУРА ФАЙЛА
СМЕЩЕНИЕ
00010203
HEX
D4C3B2A1
ASCII
····
Классический libpcap .pcap начинается с магического числа D4 C3 B2 A1 (LE) или A1 B2 C3 D4 (BE); варианты с наносекундной точностью используют 4D 3C B2 A1 / A1 B2 3C 4D. Более НОВЫЙ формат pcapng (часто все еще сохраняемый как .pcap или как .pcapng) вместо этого начинается с магического числа блока заголовка раздела 0A 0D 0D 0A. Wireshark автоматически определяет тип при открытии.
Программы, открывающие файлы PCAP
Windows2 apps
Wireshark
Открытый код File > Open для открытия .pcap; Wireshark автоматически определяет libpcap или pcapng и декодирует каждый уровень протокола с поддержкой фильтров и функции follow-stream. 
WinDump (legacy)
Бесплатно Командная строка: «windump -r file.pcap». Примечание: WinDump/WinPcap больше не поддерживаются - используйте Wireshark/tshark (с Npcap) для новых задач. 
macOS2 apps
Wireshark
Открытый код File > Open для открытия .pcap; Wireshark автоматически определяет libpcap или pcapng и декодирует каждый уровень протокола с поддержкой фильтров и функции follow-stream. 
Linux3 apps
NetworkMiner
Freemium Загрузите .pcap для извлечения файлов, учетных данных, изображений и хостов из трафика (ориентирован на форензику; работает в Windows и в Linux через Mono).
Wireshark / tshark
Открытый код Откройте в Wireshark или используйте «tshark -r file.pcap» в командной строке для получения текстового дампа.
Web1 app
A-Packets
Бесплатно Загрузите .pcap для анализа в браузере - используйте ТОЛЬКО для неконфиденциальных дампов. Технические подробности
глубокая спецификация| Структура файла | 24-байтовый глобальный заголовок, за которым следуют последовательные записи пакетов, каждая с 16-байтовым заголовком пакета и необработанными данными захваченного кадра |
| Магическое число (little-endian) | 0xD4C3B2A1 по смещению 0, идентифицирующее файл и указывающее порядок байтов little-endian инструментам чтения |
| Магическое число (big-endian) | 0xA1B2C3D4 по смещению 0, используется, когда записывающее устройство использует порядок байтов big-endian |
| Варианты с наносекундным разрешением | Магические числа 0x4D3CB2A1 (LE) или 0xA1B23C4D (BE) помечают файлы, в которых временные метки хранятся в наносекундах, а не в микросекундах |
| Кодирование временных меток | Два 32-битных целых числа на пакет: секунды с начала эпохи Unix и микросекунды (или наносекунды в варианте с точностью ns) |
| Поле Snaplen | 32-битное поле в глобальном заголовке, ограничивающее максимальное количество байтов, сохраняемых для каждого пакета; значение по умолчанию - 65535 байт |
| Поле Network (тип канального уровня) | 32-битный код в глобальном заголовке, идентифицирующий уровень передачи данных: 1 = Ethernet, 105 = IEEE 802.11 Wi-Fi, 113 = Linux cooked capture |
| Поля заголовка пакета | ts_sec, ts_usec/ts_nsec, incl_len (фактически сохраненные байты), orig_len (оригинальная длина пакета в сети) |
| MIME-тип | application/vnd.tcpdump.pcap |
| Определение порядка байтов | Полностью автоматическое - инструменты считывают магическое число по смещению 0 для определения порядка байтов без участия пользователя |
| Формат-преемник | .pcapng (PCAP Next Generation) добавляет поддержку нескольких интерфейсов, блоки метаданных, комментарии к пакетам и расширенные записи пакетов |
| Сжатие | Формат по определению не сжат; файлы часто распространяются как .pcap.gz (gzip) или .pcap.xz для хранения и передачи |
| Основные инструменты захвата | tcpdump (командная строка, Unix/Windows); tshark (кроссплатформенная командная строка); Wireshark (графический интерфейс) |
| Лимит размера файла | Максимум не ограничен форматом; ограничен только лимитами файловой системы операционной системы и доступным хранилищем |
| Выпущен | Early 1990s (libpcap/tcpdump); IETF draft standard for the on-disk format |
| Открыть стандартное | Да · без роялти |
| Спецификация | datatracker.ietf.org |
Конвертации PCAP
Возможно
.PCAP .TXTРУКОВОДСТВО
Да, вы можете экспортировать файл PCAP как обычный текст - самый быстрый способ это встроенный экспорт в…
Как конвертировать
.PCAP .PCAPNGРУКОВОДСТВО
Да - откройте файл в Wireshark и используйте «Файл > Сохранить как», выбрав формат pcapng; это займет меньше…
Как конвертировать
.PCAP .CSVРУКОВОДСТВО
Да - самый быстрый способ через встроенный экспорт Wireshark: File > Export Packet Dissections > As CSV.
Как конвертировать
Вопросы и ответы сообщества
спрошено пользователями
Л
Часто задаваемые вопросы
Как открыть файл PCAP?
Откройте его в Wireshark (бесплатно для Windows, macOS и Linux), который декодирует каждый уровень протокола. В командной строке вы можете прочитать его с помощью «tcpdump -r file.pcap» или «tshark -r file.pcap».
В чем разница между .pcap и .pcapng?
pcapng - это более новый формат с поддержкой нескольких интерфейсов, комментариев и более богатых метаданных, и он является форматом по умолчанию в Wireshark. Классический .pcap (libpcap) проще и имеет более широкую совместимость. Wireshark открывает оба; вы можете конвертировать их друг в друга с помощью editcap.
В чем разница между .pcap и .cap?
Обычно разницы нет - оба расширения часто содержат формат захвата libpcap, и Wireshark открывает любое из них; часто можно просто переименовать одно в другое. «.cap» также используется Microsoft Network Monitor и некоторыми несетевыми программами, поэтому оно чуть более неоднозначно.
Может ли файл PCAP содержать пароли?
Да - если в захваченном трафике использовались протоколы с открытым текстом, учетные данные могут быть видны в пакетах. Относитесь к дампам как к конфиденциальным данным и избегайте загрузки важных файлов в публичные онлайн-инструменты.
Как конвертировать PCAP в CSV или текст?
В Wireshark: File > Export Packet Dissections > As CSV или As Plain Text. В командной строке tshark может выводить поля: «tshark -r file.pcap -T fields -e ...».
Как прочитать PCAP без Wireshark?
Используйте tcpdump или tshark в командной строке («tcpdump -r file.pcap»), NetworkMiner для форензики и извлечения файлов/учетных данных или браузерный инструмент, такой как A-Packets, для несекретных дампов.
Ссылки
1IETF - PCAP Capture File Format (draft)datatracker.ietf.org
2IETF - PCAP Next Generation (pcapng) formatdatatracker.ietf.org
