从 PCAP 提取文件对象

流量里传过的可执行文件、文档与脚本都是证据：按对象导出并用哈希与端点落盘文件互证。

用途	传输物采样与互证
来源	HTTP 对象 / SMB 写入 / 邮件附件

导出与识别

tshark -r sample.pcap --export-objects smb,out/ -q
file out/* | grep -i 'executable\|script'

每个对象记录来源会话与时间，便于回溯下载路径。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌