仅使用tcpdump保存原始二进制有效载荷

Question

如何使用tcpdump捕获流量并仅以原始二进制格式保存完整有效负载（应用层数据，无tcp/ip头文件）？

Answer 1

获取流量和在PCAP格式将其写入磁盘后，您可以 每个流成单独的文件中使用tcpflow，然后运行一个文件 雕刻工具，如最重要的流文件，这也能开出具体 文件类型分开来自每个流。下面的例子将提取窗口PE 文件和PDF文件从流量：

$ tcpflow -r traffic.pcap -o flows/ 
$ cat flows/* > big.flow 
$ foremost -t exe,pdf -i big.flow 

另一种工具，能够提取常见的文件类型是tcpxtract：

$ tcpxtract --file traffic.pcap -o output/ 

其他工具包括ChaosReader和兄弟的文件分析器。