超级会员免费看
本文详细介绍了如何使用Wireshark和Python进行pcap数据包中的文件还原。Wireshark虽然能识别部分文件，但有时需要手动或自动还原。手动还原可通过Wireshark的图形界面完成，而自动还原可以使用tshark命令或Python的Scapy库。通过Scapy，可以解析HTTP数据包并处理gzip压缩和chunk编码，根据content-type为文件命名，实现不同类型的文件还原。
本文介绍如何使用wireshark和python分别对pcap数据包中的文件内容进行自动和手动的还原。
wireshark在分析数据包的时候，常常会遇到一些wireshark自身无法解码的数据内容，如下图1所示：
图1
这些内容可能是中文编码的文件，图片，视频，往往需要特定的解码软件打开。比如html中如果存在GB2312的中文编码内容，在wireshark中是没法显示的，需要还原成为html格式的文件，使用chrome浏览器打开即可正确的显示。我在这篇文章中曾罗列了众多wireshark中乱码的可能原因，见这里。
图1中图片文件，wireshark也只能解析部分的头部字段，只能显示图片的16进制信息，需要依赖图片解码软件进行显示，视频，office等特定的软件同理。在我前面的文章中讲述了使用wireshark lua插件进行图片，视频，证书等文件内容的提取，见
订阅专栏 解锁全文
扫一扫
7122
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
