如何使用-C選項保存tcpdump pcap文件

Question

我正在使用以下命令捕獲文件。

tcpdump -i eth0 -C 100 -w test.pcap 

這旋轉的文件，名稱分別test.pcap，test.pcap1，test.pcap2 ... 有什麼辦法來保存test.pcap，test1.pcap，test2.pcap文件？

謝謝

Answer 1

我不認爲這是可能的tcpdump。從tcpdump手冊頁：

第一個保存文件後的保存文件將具有用-w標誌指定的名稱，後面跟着一個數字，從1開始並繼續向上。

如果你有tshark可用，你可以嘗試，而不是執行以下操作：

tshark -i eth0 -b filesize:100000 -w test.pcap 

，這將產生形式test_nnnnn_YYYYmmddHHMMSS.pcap

...的捕獲文件，其中：

• nnnnn是一個遞增的數字，從1開始（與所有文件一致，不同於tcpdump）
• YYYY是一年爲包括世紀
• mm一個十進制數月以十進制數（範圍01〜12）
• dd是該月的當天爲十進制數（範圍01至31 ）
• HH是小時作爲使用24小時時鐘（範圍00〜23）
• MM的十進制數是分鐘以十進制數（範圍00〜59）
• SS是第二過程作爲中十進制數（範圍從00到60）

（符號和描述從strftime借）

注：tcpdump的-C file_size選項指定的MB'的數量作爲file_size（即100 =億個字節）類，而tshark的-b filesize:NUM選項指定kB的個數爲NUM（即，100000 = 100,000,000字節）。