以太网标头的无标头 pcap 文件？

【问题标题】：How do I get Wireshark to read header-less pcap files without a UDP/IP/Ethernet header?如何让 Wireshark 读取没有 UDP/IP/以太网标头的无标头 pcap 文件？
【发布时间】：2011-05-28 23:36:00
【问题描述】：

Wireshark 是否支持在每个数据包中都不需要 TCP/UDP/以太网标头的格式？

wireshark 支持的任何其他（非 pcap）格式将不胜感激。我需要将无标题的数据放入 wireshark 以进行进一步检查。

【问题讨论】：

标签： udp wireshark pcap packet-capture

【解决方案1】：

显然这对于较新的版本是可能的。查看他们的How To Dissect Anything wiki 条目。

基本上，在pcap header 中，您将network linktype DLT 设置为USER DLT #147 十进制。 Pcap 文件为simple to create。

然后在wiresharkEdit->Preferences->Protocols->DLT_USER->Edit Encapsulations Table中，填写GUI对话框。瞧！它解析原始数据包。

更新：这不支持某些协议（如 DNS）。但是您可以使用 text2pcap（截至 2010 年 12 月的开发版本）附加假标题。

【讨论】：