封包捕获 要么 PCAP （也称为libpcap）是一个应用程序编程接口（API），可从OSI模型第2-7层捕获实时网络数据包数据。诸如Wireshark之​​类的网络分析器会创建.pcap文件，以收集和记录来自网络的数据包数据。 PCAP有多种格式，包括 脂帽, WinPcap的, 和 PCAPng. 这些PCAP文件可用于查看TCP / IP和UDP网络数据包。如果要记录网络流量，则需要创建一个.pcapfile。您可以使用网络分析仪或数据包嗅探工具（例如Wireshark或tcpdump）来创建.pcapfile。在本文中，我们将研究什么是PCAP，以及它如何工作. 为什么需要使用PCAP?  PCAP是用于文件分析和监视网络流量的宝贵资源。 Wireshark等数据包收集工具可让您收集网络流量，并将其转换为易于理解的格式。使用PCAP监视网络的原因有很多。最常见的一些方法包括监视带宽使用情况，识别恶意DHCP服务器，检测恶意软件，DNS解析和事件响应. 对于网络管理员和安全研究人员而言，数据包文件分析是检测网络入侵和其他可疑活动的好方法。例如，如果源正在向网络发送大量恶意流量，则可以在软件代理上识别该恶意流量，然后采取措施来补救攻击。. 数据包嗅探器如何工作? 要捕获PCAP文件，您需要使用数据包嗅探器。数据包嗅探器捕获数据包并以易于理解的方式呈现它们。使用PCAP嗅探器时，您需要做的第一件事就是确定要监听的接口。如果您使用的是Linux设备，则可能是 eth0 要么 wlan0. 您可以使用 ifconfig命令. 知道要监听的接口后，就可以选择要监视的流量类型。例如，如果您只想监视TCP / IP数据包，则可以创建规则来执行此操作。许多工具提供了过滤器，可让您控制所收集的流量. 例如，Wireshark允许您使用捕获过滤器和显示过滤器过滤看到的流量类型。捕获过滤器可让您过滤捕获的流量，显示过滤器可让您过滤看到的流量。例如，您可以过滤协议，流或主机. 收集经过过滤的流量后，您就可以开始寻找性能问题。为了进行更有针对性的分析，您还可以根据源端口和目标端口进行过滤，以测试特定的网络元素。然后，所有捕获的信息都可以用于解决网络性能问题. PCAP的版本 如上所述，有许多不同类型的PCAP文件，包括： 脂帽 WinPcap的 PCAPng NPCAP 每个版本都有其自己的用例，并且不同类型的网络监视工具支持不同形式的PCAP文件。例如，Libpcap是为Linux和Mac OS用户设计的便携式开源c / C ++库。 Libpcap使管理员可以捕获和过滤数据包。诸如tcpdump之类的数据包嗅探工具使用Libpcap格式. 对于Windows用户，有WinPcap格式。 WinPcap是另一个为Windows设备设计的便携式数据包捕获库。 WinpCap还可以捕获和过滤从网络收集的数据包。像这样的工具 Wireshark, 地图, 和 鼻息 使用WinPCap监视设备，但协议本身已被终止. Pcapng或.pcap下一代捕获文件格式是Wireshark随附的PCAP的更高级版本。 Pcapng可以捕获和存储数据。 pcapng收集的数据类型包括扩展的时间戳精度，用户注释和捕获统计信息，以向用户提供其他信息. 诸如Wireshark之​​类的工具正在使用PCAPng，因为它可以记录比PCAP更多的信息。但是，PCAPng的问题在于，它与PCAP一样不兼容许多工具. Npcap是Windows的便携式数据包嗅探库，由最著名的数据包嗅探供应商之一Nmap生产。该库比WinpCap更快，更安全。 Npcap支持Windows 10和回送数据包捕获注入，因此您可以发送和嗅探回送数据包。…