Как добавить комментарий ко всем пакетам в многочисленных файлах pcap перед объединением в один файл

Question

Я пытаюсь объединить множество файлов pcap вместе для последующей обработки после захвата, однако мне нужно сохранить информацию об исходном файле каждого пакета (имя файла содержит информацию об источнике сетевого перехода). Эта информация недоступна в самих пакетах. Моя идея состоит в том, чтобы использовать удобство pcapng, который позволяет добавлять к пакету комментарий кадра (frame.comment) и который можно сделать программно с помощью editcap. Я мог бы использовать это, чтобы добавить информацию из имени файла в каждый пакет, который будет перенесен в объединенный файл. Однако кажется, что editcap позволяет добавлять комментарии только к определенным c кадрам editcap -a <framenumber>:<comment>, но не к диапазону кадров. Выполнение этого вручную нецелесообразно, поскольку я имею дело с большим количеством больших файлов pcap. Идеи?

Answer 1

Это рекурсивно сохранит имя файла в качестве комментария к каждому пакету в каждом pcap. Если вам нужно сделать это только с одним файлом, удалите внешний для l oop.

for f in $(find *.pcap); do
  num_frames=$(capinfos -rcT "$f" | awk '{ print $NF }')
  for i in $(seq 1 $num_frames); do
    editcap "$f" "$f" -a "$i:$f" 
  done
done

• find *.pcap рекурсивно найдет все файлы типа pcap в этом каталоге
• capinfos - это инструмент интерфейса командной строки wirehark, такой как wirehark, который предоставляет информацию о захватах

Обратите внимание, что вместо этого вы можете динамически включать другой комментарий, например временную метку.