星期一, 4月 22, 2024

Wireshark相關教學

 

  • Q:winshrek 提示 The capture file appears to be damaged or corrupt.(pcap: File has 2608985148-byte packet, bigger than maximum of262144)
    A:這個錯誤提示是因為Winshark讀取的擷取檔案中存在一個非常大的資料包,而這個資料包大小超過了Winshark預設允許的最大大小(262144位元組)。因此,Winshark無法正確讀取並分析這個捕獲檔案。
    解決方案是使用其他工具來開啟這個捕獲文件,並尋找和刪除該非常大的資料包。例如,您可以使用Wireshark的命令列版本tshark來檢查擷取檔案:
    tshark -r capture.pcap -qz io,stat,0,"SUM(frame.len)frame.len>1000000"
    手動刪除這些資料包或使用tshark過濾它們並建立一個新的、不包含這些資料包的擷取檔案:
    tshark -r capture.pcap -w new_capture.pcap not frame[0] >1000000
    這將建立一個名為new​​_capture.pcap的新文件
    參考:https://kernel.0voice.com/forum.php?mod=viewthread&tid=3951