分析前先给文件做体检
分析之前先看元数据：包数、时长、文件体积、是否含截断包、平均速率。确认数据可用之后再投入分析，能避免在残缺的样本上得出看起来很漂亮的结论。这一步是抓包工作里最容易被跳过、又最容易出问题的地方。
基本信息
| 适用平台 | Wireshark 自带的命令行工具，Linux 与 Windows 一致 |
|---|---|
| 基本命令 | capinfos 加文件路径 |
| 输出内容 | 文件格式、包数、时长、起止时间、平均速率等 |
| 扩展选项 | 需要单列字段时先查帮助，各版本选项略有差异 |
典型使用场景
- 分析前确认样本覆盖度
- 报告里附上样本量说明
- 判断采集是否因异常提前结束
- 对比合并或转换前后的包数是否一致
- 排查分析工具报错是否与文件损坏有关
元数据检查
元数据检查
capinfos a.pcapng
# 一次看到文件格式、包数、时长、起止时间与平均速率等摘要
capinfos -h
# 需要单列某个字段时先查帮助，不同版本可用选项有差异
capinfos a.pcapng b.pcap
# 同时传多个文件，便于转换或合并前后逐项比对关键字段
| 字段 | 含义 | 异常提示 |
|---|---|---|
| 包数 | 文件包含的帧总数 | 与预期差距大说明采集异常 |
| 时长 | 首末帧的时间跨度 | 过短说明样本窗口不足 |
| 平均速率 | 字节数除以时长 | 异常低可能是过滤过严或任务空闲 |
| 抓取长度 | 每帧保存的字节数 | 小于报文长度说明存在截断 |
报告里附上元数据摘要，结论的样本量就一目了然，复核者也能判断结论的可信范围。这一步成本极低、收益很高，是让报告可信的捷径。
只给时长不给包数的文件无法评估覆盖度。速率异常低可能是过滤条件写得太严，也可能是任务本来就空闲，两种情况处理方式完全不同，必须结合业务判断。
检查清单
- 确认包数与时长是否覆盖目标问题时段
- 检查是否存在被截断的帧
- 核对抓取长度是否满足深度解析需要
- 转换或合并前后逐项比对元数据
- 把元数据摘要附进报告作为样本说明