WireShark 自带工具 editcap 和 text2pcap 配合完成改包操作
YDD的铁皮锅 人气:3一、拆包
首先声明这种方法比较复杂而且需要点技术水平，不建议菜鸟尝试（可以使用WireEdit编辑pcap包，不过要联网）其实在熟练这种方法后也可以很快的，但这种方法主要还是方便吧，不用下载其他什么软件。(除了WireShark)
不过菜鸟也不会点进这篇技术文章吧。
先说主要思想
editcap和text2pcap是WireShark自带的两款功能强大的命令行程序
editcap是wireshark的命令行工具可以实现切割包和具体报文
text2pcap可以根据你导出来的字符数据重新转化为数据报文
因此我们可以先对原始包切割，切出想要的报文帧
导出为数据字串
修改数据字串
再用text2pcap转回报文，这样就完成了修改工作。
接下来是实际操作过程，我将把我遇到的比较复杂的例子来讲解，其他情况以此类推：
例子是一个巨帧TCP报文，人工实现IP分片功能。
打开CMD控制台窗口
转到WireShark安装目录 cd C:\Program Files\Wireshark 找到editcap.exe和text2pcap.exe 如图
接下来是官方文档editcap.html和text2pcap.html，我只截有用到的部分。
首先切割文件，找到巨帧的那个报文序号，利用editcap来把pcap文件拆成三部分：巨帧报文之前的部分，巨帧报文一部分，巨帧之后部分。命令如下：
editcap -r C:\Users\Administrator\Desktop\LargePcap.pcapng C:\Users\Administrator\Desktop\Header.pcapng 1-31
editcap -r C:\Users\Administrator\Desktop\LargePcap.pcapng C:\Users\Administrator\Desktop\JuZhen.pcapng 32
editcap C:\Users\Administrator\Desktop\LargePcap.pcapng C:\Users\Administrator\Desktop\Tail.pcapng 1-32
这里的巨帧是第32条报文，长度为2974明显大于以太网帧的1500，所以你必须要处理pcap包，才能使这个包符合实际的传输过程；命令中 -r 参数是保留指定报文，不加的话是剔除指定报文。
这里默认是pcapng格式，如果要转格式加 -F（详细见上面的说明）；
把这个包拆成两部分： 一个1514（MTU 可能不同）另一个1460。这里使用 -C 参数来剪报文内的数据。
editcap -C -1460:1460 C:\Users\Administrator\Desktop\JuZhen.pcapng C:\Users\Administrator\Desktop\result_1.pcapng
editcap -C 54:1460 C:\Users\Administrator\Desktop\JuZhen.pcapng C:\Users\Administrator\Desktop\result_2.pcapng
这个语句要注意的是 offset ：length offset是偏移，length是裁剪长度；还有就是要知道命令是把指定的给去除掉 （PS：我在这绕了很久）。
二、改包
打开result_1.pcapng和result_2.pcapng文件选中要改的报文，复制 -> as Hex Dump ,然后新建一个txt文件右键粘贴。
我把result_1.pcapng 和 result_2.pcapng 复制到 result_1.txt、result_2.txt中
接下来就是重中之重了 -------- 修改报文中的数据
同时打开result.pcapng 和 result.txt，在WireShark中找到要修改的字节，对照着txt文件的相应地方改成你要的数值就行了（要注意不要改动他导出的文件格式）
我这里的这个例子是要改动IP层的Total Length、Identification 和 Header CheckSum
以及TCP层的Sequence Number 和 Checksum
在txt中改掉对应的16进制，保存就完成了改包。
三、合包
然后使用text2pcap来合包操作，两条语句分别进行 txt Hex 转 pcapng 网络包
text2pcap C:\Users\Administrator\Desktop\result_1.txt C:\Users\Administrator\Desktop\1.pcapng
text2pcap C:\Users\Administrator\Desktop\result_2.txt C:\Users\Administrator\Desktop\2.pcapng
生成1.pcapng 和 2.pcapng
接下来是调整时间 ，使用 editcap -t 命令，由于不能使用精确时间来设置报文，只能 +偏移 或 -偏移来调正时间：
editcap -t -xxxx 1.pcapng
editcap -t -xxxx 2.pcapng
先查看 Header.pcapng 最后一条报文准确时间 和 Tail.pcapng 第一条报文时间，在根据要调整的报文时间进行加减
这里我就不写例子了（注意要在 Header.pcapng 最后一条报文准确时间 和 Tail.pcapng 第一条报文时间范围内）
最后是合并包部分，顺序是 Header.pcapng <- 1.pcapng <- 2.pcapng <- Tail.pcapng
四、结束
放张结果图，第32和33条报文是裁剪后的结果。
其实这种办法也不是特别麻烦吧！！不是很麻烦。。。。吧，。麻烦。好吧其实搞到这里我也没什么耐心了，这种方法我也没找到什么优点，在最后我也只是想记录一下，我挣扎的过程、学习的过程，仅此而已。
加载全部内容