Vad är filformatet PCAPNG?
En .pcapng-fil innehåller datapaket som fångats över ett nätverk, sparade i formatet PCAP Next Generation (PCAPNG). Datapaketen som lagras i en .pcapng-fil används av applikationer för nätverksprotokollsanalys, såsom Wireshark, för att övervaka och administrera nätverkstrafik. PCAPNG ersätter det äldre .pcap-formatet och blev Wiresharks standardformat för sparande i version 1.8 (2012).
Formatet organiserar data i flera typade block i ett strukturerat format. Viktiga blocktyper inkluderar:
- Section Header Block (SHB) - öppnar en fångstsektion; inkluderar Byte-Order Magic (
1A 2B 3C 4D) för automatisk detektering av endianness - Interface Description Block (IDB) - registrerar länktyp (link-layer type) och gränssnittsmetadata för varje fångstkälla
- Enhanced Packet Block (EPB) - lagrar enskilda ramar med exakta tidsstämplar och valfria flaggor per paket
- Name Resolution Block (NRB) - mappar IP-adresser till värdnamn
- Interface Statistics Block (ISB) - innehåller fångststatistik per gränssnitt
Information som sparas i dessa block kan användas för att rekonstruera fångad data. Filen identifieras av dess filsignatur (magic bytes) 0A 0D 0D 0A vid offset 0; den registrerade MIME-typen är application/x-pcapng.
Säkerhet & trygghet
RISK: MEDIUMEn pcapng-fil är passiv data och kan inte köras av sig själv, men den är känslig: en fångst kan innehålla lösenord i klartext, sessionscookies/tokens, interna IP-adresser och värdnamn, samt hela innehållet i okrypterad trafik. Hantera filer som konfidentiella - ladda INTE upp känsliga filer till publika online-analysatorer och rensa dem innan delning. Att fånga trafik på nätverk du inte äger eller administrerar kan vara olagligt. Det finns en sekundär teknisk risk: historiskt har buggar i analysverktyg (inklusive Wireshark-dissektorer) utnyttjats av illvilligt utformade filer, så håll Wireshark uppdaterad och var försiktig med att öppna filer från okända källor.
Formatdetaljer
i ett nötskalFULLSTÄNDIGT NAMNPCAP Next Generation Capture File
UTVECKLAREWireshark / IETF OPSAWG (community standard)sedan circa 2010 (Wireshark 1.8 made it the default save format in 2012)
KATEGORIFiler med uppgifter
MIME-TYPapplication/x-pcapng
TYPBinär nätverksfångst (blockstrukturerad)
STANDARDÖppen · royaltyfri
MAGIC BYTES · FILSIGNATUR
OFFSET
00010203
HEX
0A0D0D0A
ASCII
····
En pcapng-fil börjar med ett Section Header Block: de första 4 byten är blocktypen 0A 0D 0D 0A, följt av blockets totala längd, och ett Byte-Order Magic-värde 1A 2B 3C 4D vid offset 8 (byte-swappat om filen är big-endian). Detta skiljer pcapng från det ÄLDRE klassiska pcap-formatet, vars magic bytes är D4 C3 B2 A1 (little-endian) / A1 B2 C3 D4 (big-endian) vid offset 0. Wireshark detekterar båda automatiskt.
Program som öppnar PCAPNG-filer
Windows3 apps
Wireshark
Öppen källkod Arkiv > Öppna .pcapng; Wireshark avkodar varje protokollager och låter dig filtrera, följa strömmar och inspektera paket. 
CapLoader
Betald Snabb laddare för mycket stora filer; öppnar .pcapng för att sortera flöden och sedan skicka enskilda flöden till Wireshark. 
NetworkMiner
Freemium Öppna .pcapng för att extrahera filer, bilder, inloggningsuppgifter och värdinfo för forensisk analys eller säkerhetsanalys (gratisversion finns). 
macOS1 app
Wireshark
Öppen källkod Arkiv > Öppna .pcapng; Wireshark avkodar varje protokollager och låter dig filtrera, följa strömmar och inspektera paket. 
Linux2 apps
Wireshark
Öppen källkod Arkiv > Öppna .pcapng; Wireshark avkodar varje protokollager och låter dig filtrera, följa strömmar och inspektera paket. 
tcpdump
Öppen källkod tcpdump -r fil.pcapng skriver ut paketen i terminalen (moderna libpcap läser pcapng).
Web1 app
A-Packets
Gratis Ladda upp en .pcapng för att analysera flöden i webbläsaren - använd endast med icke-känsliga filer (den lämnar din dator). Tekniska detaljer
djup specifikation| Magic bytes | 0A 0D 0D 0A vid byte-offset 0 (typidentifierare för Section Header Block); Byte-Order Magic 1A 2B 3C 4D vid offset 8 inuti SHB avgör filens endianness |
| MIME-typ | application/x-pcapng |
| Stöd för endianness | Både little-endian och big-endian-filer är giltiga; läsare detekterar byteordning från fältet Byte-Order Magic i Section Header Block |
| Blockarkitektur | All data lagras i typade block med längdprefix; varje block börjar med ett 32-bitars typfält och ett 32-bitars fält för total längd, vilket gör formatet självbeskrivande och framtidssäkert |
| Fångst från flera gränssnitt | En enskild fil kan innehålla paket från flera nätverksgränssnitt samtidigt, där varje gränssnitt beskrivs av sitt eget Interface Description Block (IDB) |
| Upplösning för tidsstämplar | Konfigurerbart per gränssnitt via IDB-alternativ; standard är mikrosekunds-precision (10⁻⁶ s); nanosekunds-precision (10⁻⁹ s) stöds också |
| Kärnblocktyper | Section Header (SHB), Interface Description (IDB), Enhanced Packet (EPB), Simple Packet (SPB), Name Resolution (NRB), Interface Statistics (ISB), Decryption Secrets (DSB) |
| Blockalternativ / TLV-metadata | Varje blocktyp stöder valfria TLV-kodade fält för kommentarer, gränssnittsnamn, OS-beskrivningar och anpassade leverantörstillägg |
| Kodning av länktyp | Lagras i varje IDB med libpcap LINKTYPE-koder (t.ex. LINKTYPE_ETHERNET = 1, LINKTYPE_RAW = 101); olika gränssnitt i samma fil kan ha olika länktyper |
| Decryption Secrets Block (DSB) | Introducerades omkring 2019; bäddar in TLS- eller WireGuard-sessionsnycklar (SSLKEYLOGFILE-kompatibla) direkt i filen, vilket möjliggör dekryptering direkt i Wireshark |
| Sektionssammanslagning | Flera Section Header Blocks kan förekomma sekventiellt i en fil, vilket gör att separata fångstsessioner kan läggas till utan omkodning |
| Snapshot-längd (snaplen) | Maximalt antal fångade bytes per paket definieras per gränssnitt i IDB; vanligtvis 65535 bytes eller 262144 bytes i moderna verktyg |
| Inbyggd komprimering | Ingår inte i formatet; filer komprimeras ofta externt med gzip och får då filändelsen .pcapng.gz för att minska lagringsutrymmet |
| Släppt | circa 2010 (Wireshark 1.8 made it the default save format in 2012) |
| Öppen standard | Ja · royaltyfri |
| Specifikation | www.ietf.org |
PCAPNG-konverteringar
Möjligt
.PCAPNG .PCAPGUIDE
Ja, PCAPNG konverteras till PCAP - det snabbaste sättet är ett kommando: editcap -F pcap in.pcapng out.pcap.
Hur man konverterar
.PCAPNG .CSVGUIDE
Ja - Wireshark exporterar paketdata till CSV med några klick, och tshark gör detsamma från kommandoraden med…
Hur man konverterar
.PCAPNG .JSONGUIDE
Ja - kör tshark -r file.pcapng -T json så får du JSON-utdata omedelbart från kommandoraden.
Hur man konverterar
.PCAPNG .TXTGUIDE
Ja, du kan exportera en PCAPNG-fil till vanlig text - det snabbaste sättet är ett tshark-kommando i en…
Hur man konverterar
Frågor & svar
frågat av användareInga frågor än - bli den första att fråga om PCAPNG-filer.
Vanliga frågor
Hur öppnar jag en PCAPNG-fil?
Använd Wireshark (gratis för Windows, macOS och Linux) - Arkiv > Öppna .pcapng så avkodas varje protokollager. På Linux/macOS kan du även läsa den med «tshark -r fil.pcapng» eller «tcpdump -r fil.pcapng».
Vad är skillnaden mellan PCAPNG och PCAP?
PCAP är det äldre klassiska libpcap-formatet; PCAPNG (next generation) är det nyare standardformatet i Wireshark som lägger till stöd för flera gränssnitt per fil, nanosekunds-tidsstämplar och kommentarer/metadata per paket. Wireshark öppnar båda.
Hur konverterar jag PCAPNG till PCAP?
I Wireshark väljer du Arkiv > Spara som och väljer formatet «pcap», eller kör «editcap -F pcap in.pcapng out.pcap». Detta medför dataförlust - funktioner som endast finns i pcapng (extra gränssnitt, nanosekunder, kommentarer) tas bort.
Varför ber mitt verktyg om .pcap när jag har en .pcapng?
Äldre eller enklare verktyg skrevs för klassisk pcap. Många kan faktiskt läsa pcapng trots etiketten; om ett verktyg verkligen inte kan det, konvertera med editcap eller Wiresharks «Spara som». Fångstdatan är samma paket oavsett.
Kan en PCAPNG-fil innehålla lösenord eller privata data?
Ja - den lagrar råtrafiken, så alla inloggningsuppgifter i klartext, cookies eller okrypterat innehåll är synliga i paketen. Hantera fångstfiler som konfidentiella och undvik att ladda upp känsliga filer till publika onlineverktyg.
Hur läser jag en PCAPNG utan att installera programvara?
Ladda upp den till en webbläsarbaserad analysator som A-Packets - men endast för icke-känsliga filer, eftersom filen lämnar din dator. För allt konfidentiellt bör du installera Wireshark lokalt istället.
Referenser
1IETF OPSAWG - PCAP Next Generation (PCAPNG) Capture File Formatwww.ietf.org
2Wireshark Wiki - Development/PcapNgwiki.wireshark.org
