[pcap1] 文件恢复

学习资料来源：

http://blog.51cto.com/yttitan/1737904

这里记录一下自己觉得重要的过程

首先需要过滤包：http.request.method==POST，因为我们是需要从中恢复出上传的文件

拖动下发现209号包格式不同，且有Upload image，打开分析

在应用层：

在传输层：

这里可以看到，由于文件比较大，所以拆分成了16个帧进行文件传输

于是，可以选择209号包进行TCP流的追踪

这里需要去了解一下jpg的文件格式