Linux命令截取pcap包 前100条报文 输出另一个pcap文件

wireshark  Data长度过滤条件

可以使用tcpdump命令和pcap过滤器来截取pcap包的前100条报文并输出为另一个pcap文件：

tcpdump -r input.pcap -w output.pcap -c 100

其中，-r选项表示读取输入pcap文件，-w选项表示输出到另一个pcap文件，-c选项表示只截取100条报文。将input.pcap和output.pcap替换为实际的输入和输出pcap文件名即可。

wireshark  Data 部分内容作为过滤条件

你可以使用Wireshark的过滤器功能来筛选包含指定数据内容的数据包。

1. 首先，打开Wireshark并导入你想要分析的pcap文件。

2. 在主界面的过滤器栏中输入以下过滤器：data contains "[content]"。在这里，[content]是你想要筛选的数据包中出现的内容。

3. 按下回车键，Wireshark将会过滤出包含指定内容的数据包并显示在数据包列表中。

例如，如果你想要过滤出包含字符串“username”内容的数据包，那么你应该在过滤器栏中输入：data contains "username"。

请注意，如果你想要同时根据多个内容过滤数据包，可以使用逻辑运算符（AND、OR、NOT）将它们组合起来。例如，data contains "username" and data contains "password"可以过滤出同时包含“username”和“password”内容的数据包。