比较两个Wireshark抓包文件

Question

我想使用 iperf 发送一些数据包并在客户端接收它们（可能已通过不同的 OSI 层处理过程）。 我想检查发送的数据包是否与接收到的数据包相同。

1. 我可以使用 Wireshark 来捕获流吗？
2. 是否有任何方法将其与 Wireshark 进行比较？

还是有其他更好的方法吗？

- pdk

Answer 1

你可以使用Wireshark进行抓包，选择每个流的数据包并导出为文本文件（每个流一个文件）：

File -> Export -> as "Plain Text" file:
    - Check "Selected packet only"
    - Check "Packet summary line"
    - Check "Packet details: All expanded"

接着使用GNU diff、WinMerge或gvimdiff等常规文本工具执行差异比较。

- mMontu

---

我想要比较Wireshark之外的内容。 在v2.2.6中，有一个微妙的区别，即可以通过“文件”>“导出数据包分析”来完成。 其他方面基本相同。 - delimiter

嗨@mMontu，比较普通的pcap文件和新一代pcap文件也是可能的吗？或者即使数据包相同，新一代pcap中的数据也会以不同的方式存储吗？谢谢。 - kocica

@FilipKočica，很抱歉我没有关于那方面的信息。但是你可以尝试比较两种格式中的小截图，并可能创建一个小脚本来将旧格式的截图转换为新格式。或者尝试在较新版本的Wireshark中加载旧的截图，然后将其保存为新格式。 - mMontu

Answer 2

1. 是的，你可以这样做，但这会很困难，因为 iPerf 的目标是发送大量数据包，捕获将包括大量的流量。
2. 奇怪的是，没有像 diff 工具一样用于比较两个捕获文件的工具。相反，文档 [1] 提出了一个解决方法：合并两个文件，并对它们的差异进行统计。

NB: 我自己也想做这样一个有用的工具，此外，这也在 Wireshark 的愿望清单中。

[1] 来源：http://www.wireshark.org/docs/wsug_html_chunked/ChStatCompareCaptureFiles.html

- dlewin

---

我在最近版本的Wireshark（2.2.6）中找不到比较窗口。它被移除了吗？ - pchaigno