导出对象是干什么的
导出对象（Export Objects）把抓包文件里已经解析出来的、属于文件传输的内容重新组装成文件落盘：HTTP 应答体、SMB 共享文件、TFTP 传输等都能按原始文件名或自动编号还原。它比逐字节读十六进制省事得多，适合做内容级核对——文件是否损坏、下发的是不是最新版本，直接打开导出的文件就能判断。
基本信息
| 图形入口 | File → Export Objects → 选择协议类型 |
|---|---|
| 命令行 | tshark -r a.pcap --export-objects http,./out |
| 支持类型 | HTTP、SMB、TFTP、DICOM、IMF 等，随版本略有差异 |
| 前提条件 | 流量为明文，或已配置 TLS 解密密钥日志 |
| 文件名 | 优先采用协议里的原始文件名，重名时自动加序号 |
| 落盘风险 | 导出内容可能含凭据与个人信息，需按敏感数据管理 |
典型使用场景
- 版本核对：确认服务端下发的是不是新版前端资源，排除缓存与发布问题
- 完整性判断：把导出的文件与原文件比对大小和哈希，判断传输过程是否丢块
- 故障取证：把用户上传的异常文件导出后交给安全或业务方分析
- 证书检查：从流量里导出证书文件，核对签发链与有效期
- 培训演示：现场把 HTTP 传输的图片导出打开，直观说明抓包能看到什么
命令行导出与核对
命令行导出与核对
tshark -r a.pcap --export-objects http,./out # 导出 HTTP 传输的文件
ls -l ./out # 查看落盘文件名与大小
sha256sum ./out/index.html # 与服务端文件哈希比对
# 只导出关心的子集，减少敏感内容外泄面
tshark -r a.pcap -Y 'ip.addr == 10.0.0.5' --export-objects http,./out5导出前需要确认的点
| 关注点 | 说明 | 异常表现 |
|---|---|---|
| 协议类型 | 先确认传输走的是哪种协议 | 选错类型列表为空，误判为未传输 |
| 分块传输 | 分块编码在导出时自动重组 | 重组出错时文件能打开但内容截断 |
| 压缩编码 | gzip 等压缩体会在导出时解压 | 导出的文件比线上报文大属正常 |
| 加密流量 | 未解密的 HTTPS 不参与导出 | 列表为空不等于没有传输 |
| 权限与留存 | 落盘目录权限与清理期限 | 默认写在项目目录容易残留 |
导出的文件会以明文形式落在磁盘上，可能包含用户上传的证件、凭据或内部文档；导出目录权限收紧到仅本人可读，任务结束后按留存制度清理并记录。
列表里显示的是一段会话中可以被识别的对象，同一文件被多次下发会出现多条；核对版本时按时间排序取最后一条，避免拿旧版本下结论。