大文件分段分析策略

先统计后下钻：capinfos 体检 → io,phs/conv 找可疑段 → editcap 切段 → 精读；避免直接在海量帧里翻找。

用途	大文件的高效分析路径
步骤	体检→概览→切段→精读

路径

capinfos big.pcapng
 tshark -r big.pcapng -q -z conv,tcp | sort -k5 -n | tail
editcap -A ... -B ... big.pcapng win.pcapng

每步输出简要记录，最后报告按证据链组织。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌