Conversor online gratuito de TXT para PCAP

Um aplicativo de análise de pacotes ou um dispositivo de rede pode aceitar somente PCAP, enquanto ferramentas de diagnóstico geralmente exportam bytes de pacotes como TXT. Converter o dump possibilita abrir os frames capturados no Wireshark, filtrá-los e inspecionar seus protocolos.

O que é o formato TXT

TXT é um contêiner de texto simples não estruturado, sem codificação padrão, metadados de pacotes ou formato de rede. Em trabalhos relacionados à Internet, arquivos TXT podem conter logs de firewall, saída de terminal, resumos de pacotes ou dumps hexadecimais exportados por ferramentas de diagnóstico e scripts.

Somente um arquivo TXT contendo bytes de pacotes analisáveis pode produzir um PCAP significativo. Uma linha contendo um endereço de origem, um endereço de destino e uma porta descreve o tráfego, mas não contém os bytes das camadas Ethernet, IP e de transporte necessários para um frame capturado. Anotações comuns, arquivos CSV e logs de eventos decodificados não podem ser convertidos novamente nos pacotes originais.

O que é o formato PCAP

PCAP é um formato binário de captura de pacotes compatível com Wireshark, tcpdump, TShark, dumpcap e outras ferramentas de análise. Um arquivo contém um cabeçalho de captura seguido por registros de pacotes com timestamps, comprimentos capturados, comprimentos originais e dados brutos da camada de enlace.

Quando os bytes incluem os cabeçalhos relevantes, os analisadores podem decodificar Ethernet, IPv4, IPv6, TCP, UDP, DNS, HTTP e outros protocolos. PCAP é compatível com filtros de exibição, inspeção de protocolos, solução de problemas, testes de replay e arquivamento de tráfego. PCAPNG é um formato de captura mais recente que pode armazenar múltiplas interfaces e metadados adicionais; use PCAP quando o aplicativo de destino exigir especificamente esse formato.

Como converter o dump

text2pcap, distribuído com o Wireshark, converte dumps hexadecimais ASCII em registros de pacotes. Ele não deduz cabeçalhos ausentes nem reconstrói pacotes a partir de prosa e campos de resumo.

1. Abra o arquivo TXT e confirme se ele contém valores de bytes hexadecimais, geralmente com um offset no início de cada linha. Por exemplo: 000000 00 11 22 33 44 55 66 77 88 99 aa bb 08 00. Confirme como a origem marca o fim de um pacote e o início do próximo; linhas em branco ou offsets reiniciados são comuns, mas o formato do dump determina a interpretação correta.
2. Verifique se cada pacote contém o cabeçalho da camada de enlace pretendido. Em uma captura Ethernet, os bytes normalmente começam com um cabeçalho Ethernet de 14 bytes, seguido pelo cabeçalho IP e pelo payload. Um dump somente de IP deve usar um tipo de camada de enlace IP em vez de Ethernet.
3. Execute text2pcap em um terminal. Para bytes Ethernet e uma saída PCAP legada, use:
   text2pcap -l 1 -F pcap input.txt output.pcap
-l 1 seleciona Ethernet (DLT_EN10MB), e -F pcap seleciona o contêiner PCAP em vez do padrão PCAPNG usado por muitas versões atuais do Wireshark. Use text2pcap --help para verificar as opções da versão instalada.
4. No Windows, execute text2pcap.exe a partir do diretório de instalação do Wireshark ou adicione esse diretório ao caminho do sistema:
   text2pcap.exe -l 1 -F pcap input.txt output.pcap
5. Abra output.pcap no Wireshark. Verifique os comprimentos dos pacotes, o tipo de camada de enlace selecionado, os limites dos frames e a dissecação dos protocolos. Se o dump TXT não contiver timestamps, a saída não poderá preservar os horários originais da captura; os timestamps gerados serão sintéticos ou sequenciais.

Para um dump hexadecimal compatível, 101convert.com pode realizar a conversão online sem instalar software. O serviço não pode recuperar bytes de pacotes a partir de logs ou resumos comuns, e o resultado ainda requer validação em um aplicativo de análise de pacotes.

Limites de qualidade e compatibilidade

Não existe uma conversão genérica e sem perdas de TXT arbitrário para PCAP. A origem deve preservar os bytes brutos, os limites dos pacotes e informações suficientes para identificar o tipo de camada de enlace. Cabeçalhos Ethernet ou VLAN ausentes, checksums, números de sequência, timestamps, contexto de criptografia e payloads truncados não podem ser recriados a partir de texto decodificado.

Escolha a configuração da camada de enlace de acordo com os bytes, não apenas com o protocolo de rede. Selecionar Ethernet para um dump somente de IP pode adicionar uma interpretação incorreta e produzir uma dissecação enganosa. Após a conversão, inspecione checksums malformados e frames truncados; checksums inválidos podem ter origem na fonte ou no offloading de checksum da interface de rede, e não no text2pcap.