数据包捕获修复和清理工作流程（用于 PCAP 证据）

数据包捕获在共享之前通常需要处理。原始 PCAP 可能包含敏感 IP 地址、有效负载、客户主机名、损坏的校验和、不相关的流量，或对支持交接来说数据量过大。PCAP Surgery 是一个本地桌面工作流程，用于检查、修复、清理和导出发包证据，同时不隐藏更改内容。

当任务不仅仅是"打开捕获"时，请使用此中心。任务是准备一个更小、更安全、技术上可辩护的文件。

工作流程

步骤	需要证明什么	需要收集的证据
1. 检查范围	哪些数据包是相关的？	协议、端点、会话、时间窗口以及选定的数据包详细信息
2. 识别敏感数据	哪些内容不能离开组织？	IP、主机名、有效负载、DNS 名称、HTTP 字段、TLS SNI 和客户标识符
3. 仅修复损坏的内容	哪些警告是真实的？	校验和状态、时间戳行为、格式错误的记录和捕获格式边界
4. 导出聚焦案例	接收方实际需要什么？	子集 PCAP、已编辑的 PCAP、匿名化值以及关于更改的注释
5. 重新检查结果	导出是否保留了故事？	数据包计数、时序、流连续性、校验和以及协议证据

从检查开始，而不是转换

在修复或清理任何内容之前，先检查捕获。PCAP 分析和数据包编辑指南、修复损坏的 PCAP 文件 和 PCAPNG 与 PCAP 格式元数据 解释了为什么格式、时间戳、接口和数据包边界很重要。

PCAP Surgery 保持数据包列表、解码详细信息、字节证据、规则预览和导出上下文可见，以便编辑与证明其合理性的证据相关联。

共享前清理

如果捕获离开您的机器，决定必须删除或重写的内容。从 匿名化和清理 PCAP 文件 开始，然后检查常见泄漏，如 TLS SNI 不匹配证据、DNS 超时和 NXDOMAIN 证据 和 HTTP 慢请求证据。

目标不是破坏案例。目标是移除敏感值，同时保留数据包序列、时序、协议模式和故障边界。

理解校验和警告

校验和警告可能是真正的损坏，但也可能是捕获卸载伪影。在重写任何内容之前，请阅读 PCAP 校验和错误不总是坏数据包。如果需要修复，PCAP Surgery专业版将校验和修复作为一个明确的导出工作流程，而不是静默变更。

这很重要，因为交接文件应该是可解释的。如果校验和发生了更改，接收方应该知道该文件已经为分析或夹具使用进行了修复。

仅分割接收方需要的内容

大型捕获浪费审查时间并增加数据暴露。使用 分割大型 PCAP 并提取一个会话、数据包丢失 PCAP 分析 和 TCP 重传和重复 ACK 分析 来保留相关序列，同时移除不相关的流量。

对于证据交接，保留时序和数据包顺序的聚焦捕获通常比一个大型原始文件加上冗长的解释更有力。

诚实地比较编辑工具

最佳 PCAP 编辑器工具比较、PCAP Surgery 对比 Wireshark 和 editcap、PCAP Surgery 对比 TraceWrangler 和 PCAP Surgery 对比 editcap 涵盖了主要的选择路径。

简短版本：当可重复脚本足够时使用命令行工具，当那是全部工作时使用专门的编辑工具，当检查、预览、修复、清理和导出必须保持在一个可视化工作流程中时使用 PCAP Surgery。

设置和下一步

使用 PCAP Surgery 概述帮助 和 PCAP Surgery 捕获范围帮助 准备文件并了解应用程序可以编辑什么。浏览 PCAP Surgery 博客索引 获取协议特定的分析案例。