Conversor online gratuito de PCAP para TXT

Uma equipe de suporte pode precisar de um relatório de pacotes pesquisável para um ticket, email, script ou arquivo somente de texto, enquanto o destinatário pode não ter um software de análise de pacotes. Exportar uma captura para TXT produz texto legível, mas não preserva o tráfego original para uma reanálise completa.

O que é o formato PCAP

PCAP é um formato binário associado à biblioteca de captura libpcap. Ele armazena os timestamps dos pacotes, os comprimentos capturados e originais, um tipo de camada de enlace e os bytes capturados. .pcapng é um formato relacionado e mais recente que também pode armazenar várias interfaces, nomes de interfaces, comentários e outros metadados.

Wireshark, TShark, tcpdump, dumpcap, dispositivos de monitoramento e ferramentas de detecção de intrusão podem criar ou ler esses arquivos. Administradores de rede, desenvolvedores, engenheiros de suporte, profissionais de resposta a incidentes e analistas de malware usam capturas para solucionar problemas de conexão, inspecionar protocolos, investigar tráfego suspeito e reproduzir problemas de aplicativos. Um limite de snap-length pode deixar apenas o início de cada pacote no arquivo.

O que é o formato TXT

TXT é um contêiner de texto simples sem um esquema obrigatório. Uma exportação de rede pode conter resumos de pacotes, timestamps, endereços, portas, campos de protocolo, texto de payload decodificado ou bytes hexadecimais, dependendo da ferramenta e de suas opções.

O texto simples é pesquisável, editável, fácil de anexar e adequado para scripts ou sistemas que aceitam somente texto. Ele não é um equivalente sem perdas de uma captura: a exportação pode omitir bytes brutos, metadados de pacotes, estrutura de protocolo, informações da interface e detalhes necessários para reabrir o tráfego no Wireshark. Uma exportação detalhada ou hexadecimal pode ser maior que a captura de origem, enquanto um relatório de campos selecionados costuma ser muito menor.

Usando o TShark

TShark é o analisador de linha de comando do Wireshark e é adequado para exportações reproduzíveis. Instale o Wireshark ou seu pacote de linha de comando, abra um shell no diretório que contém a captura e execute:

tshark -r input.pcap -n > output.txt

-r lê uma captura existente e -n desativa a resolução de nomes de host e nomes de serviços. Use o mesmo comando com um nome de arquivo .pcapng quando necessário. Para obter uma árvore de protocolo detalhada, execute:

tshark -r input.pcap -n -V > output.txt

Para uma exportação compacta e adequada para scripts de campos selecionados, execute:

tshark -r input.pcap -n -T fields -E header=y -E separator=, -E quote=d -e frame.number -e frame.time -e ip.src -e ip.dst -e _ws.col.Protocol -e frame.len > output.txt

Esses são dados separados por vírgulas armazenados em um arquivo chamado .txt; use um programa compatível com CSV se o fluxo de trabalho receptor esperar colunas. Adicione um filtro de exibição com -Y para exportar somente os pacotes correspondentes:

tshark -r input.pcap -n -Y "http or dns" -V > output.txt

Para incluir bytes capturados como saída hexadecimal e ASCII, use:

tshark -r input.pcap -n -x > output.txt

O operador > cria ou substitui o arquivo de saída; use >> para adicionar conteúdo. Um filtro de captura não pode ser aplicado retroativamente a um arquivo; use -Y como filtro de exibição ao ler uma captura existente.

Usando o Wireshark

1. Abra o arquivo .pcap ou .pcapng no Wireshark.
2. Aplique um filtro de exibição como http, ip.addr == 192.0.2.10 ou tcp.port == 443 se o relatório deverá conter tráfego selecionado.
3. Escolha File → Export Packet Dissections → As Plain Text.
4. Escolha todos os pacotes ou os pacotes exibidos, selecione as opções necessárias de resumo de pacotes, detalhes de protocolo e bytes de pacotes e salve com uma extensão .txt.

O Wireshark é útil quando você precisa inspecionar a dissecação antes de exportar ou selecionar visualmente as opções de saída. Os nomes dos menus e as opções disponíveis podem variar entre as versões do Wireshark.

Usando o tcpdump

Para obter um resumo rápido e uma visualização dos bytes brutos, execute:

tcpdump -nn -X -r input.pcap > output.txt

-nn impede pesquisas de nomes de host e nomes de serviços, -X imprime bytes hexadecimais com uma visualização ASCII e -r lê a captura existente. O tcpdump geralmente fornece menos detalhes de protocolo que o Wireshark ou o TShark.

Usando o 101convert.com

Você pode converter o arquivo gratuitamente em 101convert.com sem instalar software. 

Limites de qualidade e compatibilidade

• Não existe uma representação padrão de PCAP para TXT. Resumos de pacotes, dissecações detalhadas, tabelas de campos selecionados e despejos hexadecimais contêm informações diferentes.
• A saída depende da versão do analisador, dos dissectors de protocolo habilitados, do tipo de camada de enlace, do truncamento de pacotes, de pacotes malformados ou fragmentados e do contexto de protocolo disponível.
• O tráfego criptografado permanece criptografado, a menos que o analisador tenha as chaves e configurações de descriptografia necessárias, como logs de chaves TLS ou segredos IPsec.
• Payloads binários ou não imprimíveis podem aparecer como dados escapados, valores hexadecimais ou caracteres ilegíveis. Use a saída hexadecimal quando os bytes capturados forem importantes.
• A codificação de texto não é definida pelo TXT. Defina ou verifique UTF-8 quando os campos de protocolo não ASCII precisarem funcionar em outro sistema; as configurações regionais do terminal e do sistema operacional podem afetar a saída.
• Uma exportação TXT normalmente não pode ser importada no Wireshark como uma captura utilizável e não pode recriar de forma confiável os limites dos pacotes, timestamps, metadados, checksums ou bytes brutos. Mantenha o arquivo original para reanálise ou verificação forense.
• Aplique à exportação de texto os mesmos controles de acesso aplicados à captura original, pois os payloads decodificados podem conter informações confidenciais.