| 切分 | editcap -i 秒 或 -c 包数 |
|---|---|
| 提取 | tshark -Y 过滤条件 -w 子集 |
切分与提取
切分与提取
editcap -i 300 big.pcap split.pcapng
tshark -r big.pcap -Y 'http.request' -w http-only.pcapng
tshark -r http-only.pcapng -T fields -e http.host -e http.request.uri | head -20显示过滤器（-Y）与捕获过滤器（-f）语义不同，提取阶段用 -Y。