Estou tentando mesclar 15 arquivos pcap usando o wireshark. A fusão foi bem sucedida. Estou usando a função de acréscimo para que o segundo arquivo seja adicionado à parte inferior do primeiro arquivo. Mas quando isso é feito, recebo -ve valor na coluna de tempo. Como posso mudar isto? O que pretendo fazer é substituir esses 15 arquivos menores por esses arquivos mesclados.
Respostas:
Você precisa usar mergecapsem a opção -a. Isso os mesclará cronologicamente com base no carimbo de data e hora do pacote.
mergecap -w mergedfile.pcap files*.pcap
Isso pode ser feito usando o joincap .
go get -u github.com/assafmo/joincap
Para mesclar 1.pcape 2.pcap:
joincap 1.pcap 2.pcap > merged.pcap
Escrevi joincappara superar o que acredito ser um tratamento incorreto de erros por mergecape tcpslice.
Para mais detalhes, acesse https://github.com/assafmo/joincap .
mergecapcomando