大包先切分再分析
抓包文件动辄几 GB，直接用图形界面打开既慢又容易崩。通用做法是先用 editcap 按时间间隔或包数把大文件切成若干小文件，再用 tshark 按显示过滤条件提取出真正需要分析的子集。切分后的文件结构不变，任何工具都能照常打开。
显示过滤与捕获过滤不是一回事
提取阶段用的是显示过滤器（-Y），语法基于字段名，例如 http.request、tcp.port==445；捕获过滤器（-f）语法基于 BPF，只能在抓包时使用。写错过滤器最容易出现的后果不是报错，而是静默输出一个零字节或空内容的文件，因此每次提取后都要核对包数。
基本信息
| 适用平台 | 跨平台（Wireshark 命令行套件 editcap、tshark、capinfos） |
|---|---|
| 按时间切分 | editcap -i 300 每 300 秒一个文件 |
| 按包数切分 | editcap -c 100000 每 10 万包一个文件 |
| 定向提取 | tshark -r 文件 -Y 显示过滤器 -w 输出文件 |
| 核对 | capinfos 或 tshark 统计包数，确认输出非空 |
典型使用场景
- 只分析某台主机的通信：按地址提取子集后再看协议细节
- 提取所有 HTTP 请求：按 http.request 过滤后统计域名与路径
- 按时间切分交给多人分析：每人负责一个时间片
- 提取特定端口流量：按 tcp.port 过滤后单独保存
- 压缩存档：切分后对小文件分别计算哈希，便于校验与分发
切分与提取
切分与提取
# 按时间间隔切分，每段 5 分钟
editcap -i 300 big.pcap split-5min.pcapng
# 按包数切分，每 10 万包一个文件
editcap -c 100000 big.pcap split-count.pcapng
# 提取 HTTP 请求子集（显示过滤器）
tshark -r big.pcap -Y 'http.request' -w http-only.pcapng
# 核对输出包数，非零才算成功
tshark -r http-only.pcap | wc -l
capinfos -c http-only.pcapng
# 导出字段做统计
tshark -r http-only.pcapng -T fields -e frame.time -e ip.src -e http.host -e http.request.uri | head -20常用参数读法
| 参数 | 作用 | 注意 |
|---|---|---|
| -i 300 | 按时间间隔切分（秒） | 间隔太短会产生大量小文件 |
| -c 100000 | 按包数切分 | 与 -i 同时给出时以先满足的条件为准 |
| -Y | 显示过滤器，提取阶段使用 | 语法错误会静默输出空文件 |
| -w | 写入输出文件 | 扩展名建议与原文件一致 |
| -T fields | 按字段输出文本 | 字段名写错时输出为空列 |
提取结果为空时先从过滤器下手：用不带 -w 的同一条件跑一次看有无输出，再改用更宽的条件逐步收窄，能快速区分「确实没有」和「过滤写错了」。
加密流量在无密钥时看不到应用层字段，只能依赖证书、SNI 与连接元数据；分析前先确认目标流量是否可解密，避免在过滤器上反复试错。