如何使用-C选项保存tcpdump pcap文件

Question

我正在使用以下命令捕获文件。

tcpdump -i eth0 -C 100 -w test.pcap 

这旋转的文件，名称分别test.pcap，test.pcap1，test.pcap2 ... 有什么办法来保存test.pcap，test1.pcap，test2.pcap文件？

谢谢

Answer 1

我不认为这是可能的tcpdump。从tcpdump手册页：

第一个保存文件后的保存文件将具有用-w标志指定的名称，后面跟着一个数字，从1开始并继续向上。

如果你有tshark可用，你可以尝试，而不是执行以下操作：

tshark -i eth0 -b filesize:100000 -w test.pcap 

，这将产生形式test_nnnnn_YYYYmmddHHMMSS.pcap

...的捕获文件，其中：

• nnnnn是一个递增的数字，从1开始（与所有文件一致，不同于tcpdump）
• YYYY是一年为包括世纪
• mm一个十进制数月以十进制数（范围01〜12）
• dd是该月的当天为十进制数（范围01至31 ）
• HH是小时作为使用24小时时钟（范围00〜23）
• MM的十进制数是分钟以十进制数（范围00〜59）
• SS是第二过程作为中十进制数（范围从00到60）

（符号和描述从strftime借）

注：tcpdump的-C file_size选项指定的MB'的数量作为file_size（即100 =亿个字节）类，而tshark的-b filesize:NUM选项指定kB的个数为NUM（即，100000 = 100,000,000字节）。