pcapng 里藏着什么
pcapng 是比老式 pcap 更完整的抓包文件格式，除了报文本身，还可以携带采集接口列表、操作系统与硬件信息、抓包程序及版本、时间精度、以及人工写入的注释。这些元信息平时不显眼，复盘时却是还原现场的关键：几个月后你要回答「这份文件是在哪台机器上、用什么工具、抓的哪个网卡」，答案就写在这里。
基本信息
| 查看入口 | Statistics → Capture File Properties |
|---|---|
| 可查看内容 | 接口名称与类型、抓包应用与版本、操作系统与硬件描述、时间范围与精度 |
| 可写入内容 | 文件注释，用于记录任务背景、点位与过滤条件 |
| 格式差异 | 老式 pcap 不携带这些信息，转成 pcapng 也不会补上历史信息 |
| 命令行对照 | capinfos 输出包数、时间范围、接口等概要 |
| 注意 | 编辑注释会重写整个文件，文件哈希随之改变 |
典型使用场景
- 复盘定位：确认这份文件是哪个接口、哪台机器、哪个时间点采集的
- 交接说明：把任务背景写进文件注释，文件走到哪都自带上下文
- 工具核对：确认采集工具与版本，判断与对方环境是否一致
- 时间精度确认：高精度时间戳能支持微秒级的时序分析
- 多接口文件：一份文件里含多个采集接口时，按接口区分流量来源
查看文件元信息
查看文件元信息
capinfos a.pcapng # 概要: 格式/包数/时间范围/接口与工具信息
capinfos -M a.pcapng # 机器可读输出, 便于脚本解析
capinfos -E a.pcapng # 同时输出接口详细信息
tshark -r a.pcapng -q -z io,stat,1 | head -20 # 结合时序看分布
# 注释的写入在图形界面完成: Statistics → Capture File Properties → Comments 区元信息项与价值
| 元信息 | 内容 | 复盘价值 |
|---|---|---|
| 接口列表 | 采集网卡名称与链路类型 | 判断流量视角与链路层差异 |
| 系统描述 | 操作系统与硬件描述 | 确认采集环境与时钟基准 |
| 抓包应用 | 工具名称与版本 | 跨版本复现问题时对齐环境 |
| 时间精度 | 时间戳的分辨率 | 决定能做多细的时序分析 |
| 文件注释 | 人工写入的背景说明 | 让文件自解释, 减少来回确认 |
| 接口统计 | 各接口的包数与丢弃数 | 判断采集是否完整 |
编辑注释会重写文件：原始文件的哈希会改变，取证场景务必先备份一份原始件，再在有注释的副本上工作。
把老式 pcap 转成 pcapng 不会补出历史注释与接口信息，文件变大但信息量没增加；判断文件可信度时不能只看扩展名。