数据
什么是 PCAP 文件？
PCAP（.pcap）是广泛支持的网络数据包二进制捕获格式。它记录数据包内容、链路层类型和时间戳。结构较简单，兼容许多较旧的分析工具；但在表示多个接口或注释等信息方面不如 PCAPNG 灵活。
.pcap · .cap兼容性广泛的数据包捕获格式
适合选择此格式的场景
- 在 tcpdump 等兼容 libpcap 的工具中打开捕获文件
- 优先兼容现有分析工具
不宜选择此格式的场景
- 保留丰富的多接口捕获信息
- 未检查敏感内容就分享捕获文件
常见用途
- 记录和分析网络数据包
- 与广泛兼容的工具交换捕获文件
特点
- 保存捕获的数据包和时间戳
- 标识链路层类型
- 供 tcpdump 和许多分析工具使用
优点和缺点
优点
- 现有工具支持广泛
- 格式较简单，便于交换
- 可用 Wireshark 和 tcpdump 分析
缺点
- 表示多接口和丰富捕获元数据的能力有限
- 时间戳分辨率通常在每个文件中固定为微秒或纳秒
- 从 PCAPNG 转换可能丢失注释或精度
打开和转换
如何打开
可用 Wireshark、tcpdump 或其他兼容分析工具打开。有些捕获文件使用 .cap 扩展名，因此不要只凭扩展名判断；请用捕获分析软件确认。
如何转换
需要保留多个接口或注释时可考虑 PCAPNG。将 PCAPNG 转为 PCAP 可能提高工具兼容性，但会丢失接口信息、注释或时间戳精度；转换后应检查结果。
注意事项
- 捕获内容可能包含通信数据、凭据或个人信息。分享前检查内容和授权范围。
- 将不同链路层类型或捕获条件合并进单个 PCAP 有一定限制。
- 把纳秒时间戳转换到仅支持微秒的目标格式可能降低精度。
常见问题
PCAP 与 PCAPNG 有什么区别？
PCAP 是兼容性较广的旧格式。PCAPNG 可存储多接口和注释等更多信息，但需确认旧工具是否支持。
PCAP 文件可以安全分享吗？
其中可能包含凭据或个人信息。分享前检查或脱敏数据包内容，并确认授权与可见范围。