按包号挑选导出
只需要导出关键帧做证据时，可以按包号范围或列表把帧抽出来，产出一个小文件直接贴进工单或分析记录。这样既保护了原始大文件，也让复核的人不用在几百兆的文件里翻找，交付效率高很多。
基本信息
| 适用平台 | Wireshark 自带的命令行工具 |
|---|---|
| 语法 | 输入文件、输出文件加包号范围或列表 |
| 包号口径 | 与 Wireshark 显示的帧号一致 |
| 输出特点 | 子集文件中的帧号会重新编号 |
典型使用场景
- 把关键证据帧导出成小文件
- 工单与报告附带可复核的样本
- 只保留相关帧，减小交付体积
- 与同事分享最小可复现的数据
- 从大文件里抽取特定时间段的样本
导出样本
导出样本
editcap a.pcapng evidence.pcapng 100-200 450
# 导出第 100 至 200 帧以及第 450 帧，序号与显示的帧号一致
editcap -A "2026-10-13 10:00:00" -B "2026-10-13 10:05:00" a.pcapng window.pcapng
# 按时间范围导出，适合交付某个时间窗内的样本
# 导出后在子集文件里帧号会重新编号，报工时注明原文件帧号注意项
| 注意项 | 说明 | 后果 |
|---|---|---|
| 帧号重排 | 子集内重新编号 | 报工时需注明原文件帧号 |
| 上下文不足 | 只导出目标帧 | 复核者难以判断前后关系 |
| 时间格式 | 按工具要求的格式书写 | 格式错误直接失败 |
| 原文件保留 | 不修改输入文件 | 证据链保持完整 |
导出前后都打开确认一遍，帧号在子集里会重新编号。建议连同前后若干帧一起导出，保留上下文，复核者才能判断这个包在时序中的位置。
子集帧号重排，报工时必须注明「原文件帧号」避免混淆。只导出单帧而不给上下文，证据的说服力会大打折扣，这类交付在复盘时经常被退回重做。
交付检查
- 确认导出范围覆盖了完整的问题过程
- 带上前后若干帧，保留上下文
- 记录原文件的帧号与采集时间
- 交付时说明导出工具与参数
- 原始大文件保留，作为最终依据