Conversor online gratuito de PCAPNG para TEXT

Um sistema de tickets, relatório, script ou fluxo de trabalho de email pode exigir tráfego de rede decodificado como texto simples, em vez de aceitar uma captura .pcapng. A exportação cria um relatório legível para pesquisa e compartilhamento, mas não preserva uma captura que possa ser reaberta com a estrutura original dos pacotes.

O que é o formato PCAPNG

PCAPNG (pcap Next Generation) é um formato binário de captura de pacotes usado pelo Wireshark, TShark, builds do tcpdump que oferecem suporte a PCAPNG, dispositivos de rede e ferramentas de detecção de intrusões. Um arquivo .pcapng pode conter frames capturados, timestamps, definições de interfaces, comentários, flags de direção dos pacotes, registros de resolução de nomes e outros metadados. Administradores de rede, desenvolvedores de protocolos, profissionais de resposta a incidentes e investigadores forenses usam esse formato para solucionar problemas, analisar tráfego e coletar evidências.

O que é o formato TEXT

Em software de análise de rede, TEXT significa uma exportação em texto simples legível por humanos, geralmente salva com a extensão .txt. A saída pode incluir números de pacotes, timestamps, endereços, camadas de protocolos, campos decodificados, colunas de resumo, dados hexadecimais e dados de payload ASCII, dependendo das opções selecionadas.

O texto simples pode ser pesquisado, comparado com ferramentas de text-diff, anexado a tickets, processado por scripts e aberto sem software de análise de pacotes. Ele não é um substituto padronizado para PCAPNG e não pode preservar todos os bytes dos pacotes, blocos de captura, dados de interfaces, informações de temporização ou outros metadados.

Como converter PCAPNG para TEXT

Usando TShark

TShark é o analisador de linha de comando do Wireshark e é adequado para exportações repetíveis ou em lote. Instale o Wireshark e execute este comando em um terminal ou prompt de comando:

tshark -r capture.pcapng -V > capture.txt

A opção -r lê a captura, -V imprime a árvore de protocolos detalhada e dissecada de cada pacote, e > redireciona a saída para capture.txt. Para obter um resumo de pacotes mais curto, omita -V:

tshark -r capture.pcapng > summary.txt

Para obter um relatório compacto e estruturado contendo campos selecionados, use:

tshark -r capture.pcapng -T fields -E header=y -E separator=, -e frame.number -e frame.time -e ip.src -e ip.dst -e _ws.col.Protocol -e _ws.col.Info > packets.txt

Isso produz texto delimitado em vez de uma árvore de protocolos completa. Alguns campos podem estar ausentes em pacotes que não contenham o protocolo correspondente, e vírgulas dentro dos valores podem tornar a saída inadequada para análise ingênua em planilhas. Adicione um display filter quando apenas tráfego selecionado for necessário:

tshark -r capture.pcapng -Y "http or dns" -V > web-and-dns.txt

A opção -Y aplica um display filter do Wireshark depois que a captura é lida. Use filtros válidos para a versão instalada do Wireshark; por exemplo, tcp.port == 443 seleciona tráfego TCP na porta 443.

Usando Wireshark

1. Abra o arquivo .pcapng no Wireshark.
2. Insira e aplique um display filter se a exportação deverá conter apenas pacotes selecionados.
3. Escolha File → Export Packet Dissections → As Plain Text.
4. Escolha o intervalo de pacotes, se todos os pacotes ou apenas os exibidos deverão ser exportados e o nível de detalhes desejado dos pacotes.
5. Selecione um destino, use a extensão .txt e salve a exportação.

O arquivo também pode ser convertido gratuitamente em 101convert.com, sem instalar software.

Limitações de qualidade e compatibilidade

A saída depende da versão do Wireshark ou TShark e dos dissecadores de protocolos habilitados. Os dados de aplicação criptografados, como payloads TLS, permanecem criptografados, a menos que as chaves de descriptografia necessárias e as informações da sessão estejam disponíveis. Capturas truncadas não podem recuperar bytes ausentes, e pacotes malformados ou incompatíveis podem produzir uma decodificação incompleta.

Texto detalhado pode ser muito maior que a captura original e pode divulgar endereços IP, credenciais enviadas por protocolos de texto simples, cookies ou payloads de aplicações. A saída em texto simples não pode ser convertida novamente em um arquivo PCAPNG equivalente com os bytes originais, timestamps, blocos de interfaces, comentários e metadados da captura. Mantenha a captura original quando análises futuras, verificações ou reprodutibilidade forense puderem ser necessárias.