錯誤從tcpdump合併pcap轉儲文件

我有一些我試圖合併的捕獲文件。合併文件來自Linux服務器（Ubuntu和Centos），Macbook Pro和Windows機器。除了mac dump之外，它們都很好玩。錯誤從tcpdump合併pcap轉儲文件

但是當我嘗試將文件從Mac的合併我得到這個錯誤：

"mergecap: Record 222 of "scenario_4_mbp.pcap" has an interface ID which does not match any IDB in its file."

我看着特定數據包，這是一個Dropbox的LAN同步發現協議。出於我的目的，我甚至不關心它，我只想盡快過濾出來，但我似乎無法得到正確的過濾器。

我試着用過濾：

ip.proto != db-lsp-disc 
ip.proto not db-lsp-disc

，但我得到一個錯誤，並沒有什麼過濾。

假設我能夠應用顯示過濾器如何保存文件無法使用Dropbox數據包？最終，這會解決我的合併問題嗎？

來源

2016-04-13 Gary

這些pcap文件或pcapng文件？ Pcap文件沒有接口ID或I（接口）D（描述）B（鎖），只有pcapng文件可以，所以1）「scenario_4_mbp.pcap」實際上是pcapng文件或2）mergecap錯誤地報告問題。如果您嘗試使用Wireshark閱讀「scenario_4_mbp.pcap」，會發生什麼？ –

我可以使用Wireshark閱讀和打開文件，但我無法將其與場景中的其他文件合併。所有文件都使用tcpdump以相同的設置捕獲。唯一不同的是，該文件在Mac上被捕獲，其他所有文件都來自Linux服務器（CentOS 6.5） – Gary

I can read and open the file just fine with Wireshark, but I cannot merge it with the other files from the scenario.

然後，這可能是mergecap中的一個錯誤。請在the Wireshark Bugzilla上提交錯誤，並在可能的情況下附加到顯示錯誤的錯誤捕獲文件。

來源

2016-04-14 23:46:58

我有同樣的問題，我的案例中的違規文件也是在MacOS機器上用tcpdump創建的。

我可以通過在Wireshark中打開有問題的文件來解決這個問題，這個文件沒有問題，然後在一個新的.pcapng文件中執行「另存爲」，然後再次運行mergecap替換違規文件新創建的副本。

保存爲一個普通的.pcap文件似乎也可以工作，但是文件（至少是接口名稱）中有一些註釋會將常規.pcap去掉。

來源

2016-12-28 17:54:14 wfaulk

錯誤從tcpdump合併pcap轉儲文件

回答

相關問題