Converti PCAP in TXT

Un team di supporto potrebbe aver bisogno di un report dei pacchetti leggibile per un ticket, un'email o un flusso di lavoro di elaborazione del testo, mentre il destinatario potrebbe non disporre di software per l'analisi dei pacchetti. L'esportazione di una cattura in TXT crea testo ricercabile, ma non conserva la cattura originale per analisi successive.

Cos'è il formato PCAP

PCAP memorizza i pacchetti di rete catturati con timestamp, un tipo di livello di collegamento, le lunghezze dei pacchetti e i byte catturati. Il formato .pcap è associato a libpcap; .pcapng è un formato più recente che può memorizzare più interfacce, commenti, dati di risoluzione dei nomi e altri metadati. Una cattura può contenere solo una parte di ciascun pacchetto quando è stato utilizzato un limite di lunghezza della cattura.

Wireshark, TShark, tcpdump e gli appliance di monitoraggio della rete possono creare o leggere questi file. Gli amministratori di rete, gli addetti alla risposta agli incidenti, gli sviluppatori e i tecnici del supporto utilizzano le catture per risolvere i problemi di connessione, esaminare i protocolli, investigare sul traffico sospetto e riprodurre i problemi delle applicazioni. Un PCAP contiene traffico grezzo, non necessariamente i nomi dei protocolli o i campi decodificati; questi vengono prodotti da un analizzatore durante l'esportazione.

Cosa fornisce TXT

TXT è un contenitore di testo semplice senza uno schema obbligatorio. Un'esportazione può contenere numeri di pacchetto, timestamp, indirizzi, campi del protocollo, testo del payload decodificato o byte esadecimali, a seconda dello strumento e delle opzioni selezionate. Il testo è facile da cercare, modificare, allegare, elaborare con script e aprire senza software per l'analisi dei pacchetti.

TXT non conserva intrinsecamente gli indici dei pacchetti, la struttura del protocollo, i metadati della cattura o una codifica. Un'esportazione testuale dettagliata o esadecimale può essere più grande del PCAP, mentre un'esportazione con campi selezionati può essere molto più piccola. Conservare la cattura originale quando potrebbero essere necessari i byte esatti, il filtraggio, una nuova dissezione o una verifica forense.

Utilizzo di Wireshark

1. Aprire il file .pcap o .pcapng in Wireshark.
2. Applicare un filtro di visualizzazione se l'output deve contenere traffico selezionato, come http, ip.addr == 192.0.2.10 o tcp.port == 443.
3. Scegliere File → Export Packet Dissections → As Plain Text.
4. Nella finestra di dialogo di esportazione, selezionare tutti i pacchetti catturati oppure solo quelli visualizzati, scegliere le opzioni richieste per il riepilogo dei pacchetti, i dettagli del protocollo e i byte dei pacchetti, quindi salvare il risultato con un'estensione .txt.

Wireshark è la scelta pratica quando è necessario esaminare i pacchetti prima di esportarli o controllare la quantità dell'albero dei protocolli visualizzata nel testo. Le etichette dei menu e le opzioni di esportazione esatte possono variare leggermente a seconda della versione di Wireshark.

Utilizzo di TShark

TShark è l'analizzatore da riga di comando di Wireshark ed è adatto alle esportazioni ripetibili. Installare prima Wireshark o il relativo pacchetto da riga di comando, quindi eseguire quanto segue da PowerShell, Prompt dei comandi o una shell Linux:

tshark -r capture.pcap -n -V > capture.txt

-r legge la cattura, -n disabilita la risoluzione dei nomi degli indirizzi e delle porte per ottenere un output coerente, -V stampa la dissezione dettagliata del protocollo e > reindirizza il report a un file di testo. TShark legge anche i file .pcapng; sostituire il nome del file secondo necessità.

Per una tabella compatta e adatta agli script, esportare i campi selezionati invece dell'intero albero dei protocolli:

tshark -r capture.pcap -n -T fields -E header=y -E separator=, -E quote=d -e frame.number -e frame.time -e ip.src -e ip.dst -e _ws.col.Protocol -e _ws.col.Info > capture.txt

Questo produce testo separato da virgole all'interno di un file TXT; utilizzare un foglio di calcolo o uno script che supporti CSV se i campi devono essere elaborati come colonne. Esportare solo i pacchetti visualizzati corrispondenti al filtro con:

tshark -r capture.pcap -n -Y "dns or http" -V > capture.txt

Per includere i byte dei pacchetti catturati in formato esadecimale e ASCII, utilizzare:

tshark -r capture.pcap -n -x > capture.txt

Un filtro di visualizzazione come -Y viene applicato durante la lettura di una cattura esistente. Un filtro di cattura non può essere applicato retroattivamente; deve essere specificato durante la cattura dal vivo.

Utilizzo di tcpdump

Per un dump rapidamente leggibile senza l'albero completo dei protocolli di Wireshark, utilizzare:

tcpdump -nn -X -r capture.pcap > capture.txt

-nn impedisce le ricerche dei nomi host e dei nomi dei servizi, -X stampa i dati dei pacchetti in formato esadecimale con una visualizzazione ASCII e -r legge la cattura esistente. L'output di tcpdump è utile per i riepiloghi e l'ispezione dei byte grezzi, ma in genere TShark o Wireshark forniscono una dissezione più completa dei protocolli.

Conversione online e privacy

Non esiste un convertitore online generico generalmente consigliato per le esportazioni da PCAP a TXT. Molti siti di conversione dei file non decodificano i pacchetti e il caricamento di una cattura può divulgare credenziali, cookie, indirizzi interni, messaggi privati o campioni di malware. Utilizzare localmente Wireshark, TShark o tcpdump.

Per un campione deliberatamente anonimizzato e non sensibile, un servizio online è accettabile solo se supporta esplicitamente la dissezione di PCAP o PCAPNG, documenta la conservazione e l'eliminazione dei dati e fornisce i campi di esportazione richiesti. Un servizio che si limita a modificare l'estensione del nome del file o tratta la cattura come un file binario arbitrario non ha eseguito una conversione significativa.

Limiti di qualità e compatibilità

• L'output dipende dalla versione dell'analizzatore, dai dissector abilitati, dal tipo di livello di collegamento, dal troncamento dei pacchetti e dal contesto del protocollo disponibile.
• Il traffico crittografato rimane crittografato a meno che l'analizzatore non disponga delle chiavi e della configurazione appropriate, come i log delle chiavi TLS o i segreti IPsec.
• I pacchetti non validi, frammentati o incompleti possono produrre dissezioni parziali o diverse tra le versioni degli strumenti.
• I payload possono contenere dati binari e caratteri non stampabili; utilizzare l'output esadecimale quando sono importanti i byte catturati esatti.
• Le esportazioni di testo possono contenere dati sensibili e devono essere soggette agli stessi controlli di accesso della cattura originale.
• Un'esportazione TXT normalmente non può essere reimportata in Wireshark come PCAP utilizzabile. Conservare il file originale per ulteriori analisi.
• Per le catture di grandi dimensioni, filtrare i pacchetti o esportare i campi selezionati per evitare un report difficile da gestire. Le modalità dettagliata ed esadecimale possono produrre file molto grandi.