PCAP Surgery

PCAP Surgery 工作流：调查、修改与导出

PCAP Surgery 将工作分为 Investigate、Surgery、Export。首先证明哪些数据包解释问题，再计划必要且受支持的修改，最后才预检并写出派生制品。

打开 PCAP 或受支持的简单 PCAPNG 后，先查看包数、持续时间、链路类型、主要端点和协议。以 DNS 错误、SYN、重传、RST、TLS Alert、HTTP 响应、ICMP 错误或长时间间隔作为锚点，再向前后扩展。

最小复现不是包数最少的文件，而是仍能证明因果关系的最小范围。TCP 案例通常要保留名称解析、握手、协商选项、请求、ACK、重传、失败和关闭。不能只因控制流量使用不同端口就将其删除。

模式	核心问题	结果
Investigate	哪些包解释症状？	可辩护的过滤器与时间范围
Surgery	哪些修改确有必要？	影响可见的修改计划
Export	派生文件是否可验证？	预检和新的经典 PCAP

应用目前不会自动重新打开导出文件，也不会生成完整转换清单。因此，独立复核仍由操作者完成。

格式细节见抓包范围指南，交付思路见故障窗口子集示例。

已验证的产品边界

PCAP Surgery 在本地处理已经保存的数据包抓包。它不是实时嗅探器，核心工作流不会把抓包上传到分析服务。安装、更新、购买、许可证或支持仍可能使用网络。只打开和修改您有权持有与处理的抓包。

经典 PCAP 是完整支持的编辑路径。PCAPNG 仅保证常见的单网卡 Ethernet 路径。多网卡、其他链路类型、注释、名称解析块、统计块和厂商选项无法保证无损保留。导出写出经典 PCAP，不会完整往返任意 PCAPNG 元数据。

工作区可按受支持的协议、地址、端口、包号、时间或文本字段收敛范围。受控操作包括保留/丢弃、顺序、时间戳、固定长度字节，以及受支持的 MAC、IPv4、端口、VLAN、TCP 或 IP 重写。校验和修复只适用于受支持的 IPv4/TCP/UDP 头部路径。任意字节修改不会自动修复依赖长度、校验和或密码学完整性。

隐私边界

完整文件或选定子集可清点可见的 IPv4、IPv6、MAC、DNS、HTTP Host、TLS SNI、可打印 payload 和未知内容。该扫描不解密、不完整重组流，也不理解每一种协议。空结果不是“可以安全分享”的结论。IPv4 掩码不会删除 DNS、HTTP、TLS、凭据、IPv6 或未知 payload 中的标识。

版本边界

社区版包含打开、本地检查、过滤、规则构建、转换预览，以及导出范围、时序、警告和暴露风险预检。专业版把已审核计划写成已编辑经典 PCAP、过滤子集 PCAP 或范围型 PDF 报告。许可证不会扩展协议解码或自动脱敏，也不会授予抓包内容的使用权。

通用验收

保留不可变且名称清晰的原始抓包。
记录抓包点、网卡、时钟、时区和 offload 背景。
检查选定范围的第一个与最后一个包。
核对包数、顺序和时间戳。
在代表性数据包上检查修改与校验和行为。
在有限清点之外单独完成隐私审核。
用独立可信解析器重新打开导出文件。
记录源文件、计划、输出、审核人、日期和已知限制。

每个派生文件都要记录为何需要该范围、使用了哪些过滤器、哪些包被有意排除、哪些修改真正写入。导出成功只证明写文件完成，不证明故障窗口完整、协议语义有效或已通过隐私审批。

检查最后一次成功、实际失败以及最后响应或恢复。TCP 通常需要保留握手、选项、序列号与 ACK 上下文、重传以及 FIN 或 RST。DNS、TLS、HTTP 或 ICMP 的解释性控制流量不能被过窄端口过滤器删除。校验和异常还要先考虑抓包点与硬件 offload。

最终接收方应打开准确的输出文件，并确认它能复现故障或回答支持问题。把文件哈希、应用版本、审核日期和限制与制品一起保存。

当前版本与下载见 PCAP Surgery 产品页。

直接答案与验收边界

关于“PCAP Surgery 工作流：调查、修改与导出”的简短答案是：调查已保存的抓包，建立可辩护的故障窗口，预览受支持的修改，再导出新的经典 PCAP。这句话应当被视为需要验证的结果，而不是对所有输入、设备、项目或环境的承诺。完整结果会记录初始状态、准确操作、可见输出，以及能够证明任务已在 PCAP Surgery 中完成的条件。

证据优先的操作程序

修改完整项目之前，先从小型、可重复的案例开始。记录应用版本、操作系统、输入或设备身份、相关设置和预期结果。只执行一个明确动作，保留第一处意外变化，并在条件允许时与已知正常案例比较。同时修改多个控件会掩盖究竟哪个条件制造或修复了问题。

检查点 1：PCAP Surgery 工作流：调查、修改与导出

把“PCAP Surgery 工作流：调查、修改与导出”作为“PCAP Surgery 工作流：调查、修改与导出”的独立验收关口。记录操作前状态、第一处可见变化和最终状态。如果结果与页面描述的目标不同，就回到最后一个已经确认的检查点，不要依靠假设继续。

检查点 2：调查已保存的抓包，建立可辩护的故障窗口，预览受支持的修改，再导出新的经典 PCAP。

使用最小但具有代表性的输入验证“调查已保存的抓包，建立可辩护的故障窗口，预览受支持的修改，再导出新的经典 PCAP。”。保持无关设置不变，重复同一动作，并检查重新打开或重新连接后结果是否稳定。单张截图弱于包含输入、设置、动作、输出和时间的完整记录。

检查点 3：已验证的产品边界

针对“已验证的产品边界”，要区分产品判断与操作系统、硬件、源文件、权限或工作流边界。归因之前先确认哪一层提供了证据，避免把相邻症状写成已经证明的根本原因。

检查点 4：隐私边界

把“隐私边界”写成另一位操作者可以重复的通过或失败陈述。包括必须存在的内容、必须不存在的内容，以及失败时安全的恢复动作。在修复副本通过同一检查前，不要改变原始项目或抓取。

检查点 5：版本边界

当“版本边界”存在歧义时，在匹配条件下比较一个已知正常案例和一个失败案例。标记第一处有意义的差异，而不是罗列后续全部症状。这个边界通常能形成更清晰的支持请求和更安全的下一次实验。

检查点 6：通用验收

只有在保存、导出或重新打开后的结果仍与观察状态一致时，才能关闭“通用验收”。临时界面反馈有参考价值，但持久证据更强。把剩余限制记录下来，避免下一位读者误判为完整成功。

检查点 7：保留不可变且名称清晰的原始抓包。

把“保留不可变且名称清晰的原始抓包。”作为“PCAP Surgery 工作流：调查、修改与导出”的独立验收关口。记录操作前状态、第一处可见变化和最终状态。如果结果与页面描述的目标不同，就回到最后一个已经确认的检查点，不要依靠假设继续。

检查点 8：记录抓包点、网卡、时钟、时区和 offload 背景。

使用最小但具有代表性的输入验证“记录抓包点、网卡、时钟、时区和 offload 背景。”。保持无关设置不变，重复同一动作，并检查重新打开或重新连接后结果是否稳定。单张截图弱于包含输入、设置、动作、输出和时间的完整记录。

检查点 9：检查选定范围的第一个与最后一个包。

针对“检查选定范围的第一个与最后一个包。”，要区分产品判断与操作系统、硬件、源文件、权限或工作流边界。归因之前先确认哪一层提供了证据，避免把相邻症状写成已经证明的根本原因。

检查点 10：核对包数、顺序和时间戳。

把“核对包数、顺序和时间戳。”写成另一位操作者可以重复的通过或失败陈述。包括必须存在的内容、必须不存在的内容，以及失败时安全的恢复动作。在修复副本通过同一检查前，不要改变原始项目或抓取。

验收矩阵

检查点	需要保留的证据	通过条件
PCAP Surgery 工作流：调查、修改与导出	初始状态、一个动作和结果状态	另一位操作者可以重复所述结果
调查已保存的抓包，建立可辩护的故障窗口，预览受支持的修改，再导出新的经典 PCAP。	初始状态、一个动作和结果状态	另一位操作者可以重复所述结果
已验证的产品边界	初始状态、一个动作和结果状态	另一位操作者可以重复所述结果
隐私边界	初始状态、一个动作和结果状态	另一位操作者可以重复所述结果
版本边界	初始状态、一个动作和结果状态	另一位操作者可以重复所述结果
通用验收	初始状态、一个动作和结果状态	另一位操作者可以重复所述结果

失败隔离、恢复与交接

在第一个失败边界停止。保留源文件、项目、会话或抓取；破坏性编辑前先制作副本；每次实验只改变一个变量。多项修改后重跑完整流程，即使结果不同，也无法解释为什么。

要区分没有证据与证明不存在。空白界面可能来自错误输入、范围、过滤器、权限、设备、时间区间或项目状态。解释 decoder、编辑器、报告或导出之前，先证明采集或导入路径。

交接之前重新打开持久成果，检查开头、判断点和结尾。记录版本、平台、配置、预期行为、观察结果和最小复现步骤。删除或遮蔽敏感内容，并确认接收人有权接收。

问答

最快且可靠的开始方式是什么？

使用最小但有代表性的案例，写下预期结果，并且只改变一个变量。添加过滤器、效果、编辑、自动化或更大输入之前，先确认基础路径。

应该保存哪些证据？

保留输入身份、版本、平台、相关设置、准确动作、第一处意外变化和最终输出。项目、会话、报告或导出都应关闭并重新打开后再视为持久证据。

什么时候需要重复这套程序？

当应用、操作系统、driver、firmware、模型、源文件或工作流变化可能影响结果时。保留之前已经通过的案例，作为未修改的比较基线。

什么时候可以交接？

当另一位有权限的人能够识别输入、重复动作、看到相同结果、理解剩余限制，并且无需未记录的本地状态就能打开成果时。