如何让Wireshark在没有UDP/IP /以太网头的情况下读取无头文件的pcap文件？

Question

Wireshark是否支持在每个数据包中不需要TCP/UDP/Ethernet标头的格式？

任何其他（非pcap）格式wireshark支持将不胜感激。我需要将无标题数据导入wireshark以供进一步检查。

Answer 1

显然这是可能的新版本。请参阅他们的How To Dissect Anything wiki条目。

基本上，在pcap header中，您将network linktype DLT设置为USER DLT #147十进制。 Pcap文件是simple to create。

然后在wireshark Edit->Preferences->Protocols->DLT_USER->Edit Encapsulations Table中填入GUI对话框。瞧！它解析原始数据包。

UPDATE：这不支持某些协议（如DNS）。但是你可以使用text2pcap（截至2010年12月的开发版本）附加伪首部。