错误从tcpdump合并pcap转储文件

我有一些我试图合并的捕获文件。合并文件来自Linux服务器（Ubuntu和Centos），Macbook Pro和Windows机器。除了mac dump之外，它们都很好玩。错误从tcpdump合并pcap转储文件

但是当我尝试将文件从Mac的合并我得到这个错误：

"mergecap: Record 222 of "scenario_4_mbp.pcap" has an interface ID which does not match any IDB in its file."

我看着特定数据包，这是一个Dropbox的LAN同步发现协议。出于我的目的，我甚至不关心它，我只想尽快过滤出来，但我似乎无法得到正确的过滤器。

我试着用过滤：

ip.proto != db-lsp-disc 
ip.proto not db-lsp-disc

，但我得到一个错误，并没有什么过滤。

假设我能够应用显示过滤器如何保存文件无法使用Dropbox数据包？最终，这会解决我的合并问题吗？

来源

2016-04-13 Gary

这些pcap文件或pcapng文件？ Pcap文件没有接口ID或I（接口）D（描述）B（锁），只有pcapng文件可以，所以1）“scenario_4_mbp.pcap”实际上是pcapng文件或2）mergecap错误地报告问题。如果您尝试使用Wireshark阅读“scenario_4_mbp.pcap”，会发生什么？ –

我可以使用Wireshark阅读和打开文件，但我无法将其与场景中的其他文件合并。所有文件都使用tcpdump以相同的设置捕获。唯一不同的是，该文件在Mac上被捕获，其他所有文件都来自Linux服务器（CentOS 6.5） – Gary

I can read and open the file just fine with Wireshark, but I cannot merge it with the other files from the scenario.

然后，这可能是mergecap中的一个错误。请在the Wireshark Bugzilla上提交错误，并在可能的情况下附加到显示错误的错误捕获文件。

来源

2016-04-14 23:46:58

我有同样的问题，我的案例中的违规文件也是在MacOS机器上用tcpdump创建的。

我可以通过在Wireshark中打开有问题的文件来解决这个问题，这个文件没有问题，然后在一个新的.pcapng文件中执行“另存为”，然后再次运行mergecap替换违规文件新创建的副本。

保存为一个普通的.pcap文件似乎也可以工作，但是文件（至少是接口名称）中有一些注释会将常规.pcap去掉。

来源

2016-12-28 17:54:14 wfaulk

错误从tcpdump合并pcap转储文件

回答

相关问题