从 PCAP 提取文件对象是什么
流量里传过的可执行文件、文档与脚本都是证据。按对象把文件从抓包里导出、计算哈希，再与端点落盘文件互证，就能确认「传了什么、有没有落地」。可导出的协议不止 HTTP，共享写入与邮件附件同样支持。
基本信息
| 用途 | 传输物采样与互证 |
|---|---|
| 来源 | HTTP 对象、共享写入、邮件附件 |
| 工具 | tshark 的对象导出、Wireshark 导出对象、文件雕刻工具 |
| 记录要求 | 对象来源会话、时间、哈希 |
典型使用场景
- 确认某个文件确实经过网络传输
- 与端点文件互证，判断是否落地
- 为其他主机批量排查提供哈希
- 与沙箱结论互相印证
- 邮件附件类对象的独立提取
- 对象导出前先确认抓包是否完整，缺失的会话会导致文件不完整
导出与识别
导出与识别
tshark -r sample.pcap --export-objects smb,out/ -q
tshark -r sample.pcap --export-objects http,out/ -q
file out/* | grep -iE 'executable|script'
sha256sum out/* > objects.sha256
# 每个对象记录来源会话与时间，便于回溯下载路径协议与可导出内容
| 协议 | 可导出内容 | 注意 |
|---|---|---|
| HTTP | 响应体对象与上传内容 | 分块传输与压缩需还原 |
| 共享写入 | 共享目录中写入的文件 | 需配合主机侧痕迹确认落地 |
| 邮件协议 | 附件 | 编码方式不同，需先解码 |
| 其他协议 | 部分需手动雕刻 | 结果要人工确认完整性 |
导出目录命名应带上协议与时间，否则多份抓包的对象混在一起后，很难分辨每个文件的来源。
同一哈希被多人下载时，归因要另找下载者上下文（谁下载、是否执行）。哈希本身只能证明内容相同，不能证明是谁在用。
导出对象的哈希要做成清单文件并附来源说明，交给其他团队继续排查时才能被正确使用与引用。
对象数量多时先按类型分组：可执行文件与脚本优先处理，文档与压缩包其次，可显著缩短首次研判时间。