问pcap 文件怎么打开 抓包文件查看教程

pcap 文件是网络抓包生成的数据包文件，最主流打开方式就是使用 Wireshark，它是免费开源的网络协议分析软件，支持直接加载 pcap 以及 pcapng 格式，能够把每一个数据包完整解析，展示源 IP 目的 IP 端口协议载荷等信息，除了 Wireshark 之外还有 tcpdump tshark 010 Editor 等工具可以打开，但是纯文本编辑器比如记事本打开 pcap 会出现乱码，因为 pcap 属于二进制格式，不是普通文字文档，只适合专业网络排错协议分析场景，普通用户优先选择 Wireshark，操作最简单解析能力最强。

工具分类说明

pcap 本质是二进制抓包数据，文件内部保存链路层帧原始字节，还有抓包时间戳网卡信息，不同工具定位不一样，分为图形界面工具和命令行工具两大类。图形界面适合可视化查看过滤数据包，命令行适合服务器无桌面环境批量处理。

Wireshark 打开详细步骤

1 前往 Wireshark 官方网站，下载对应操作系统版本，支持 Windows Mac Linux，按照默认向导完成安装

2 启动软件，顶部菜单栏选择文件，再点击打开

3 在弹出窗口找到目标 pcap 文件，选中之后点击确定，软件自动解析全部数据包

4 加载完成后，主界面分成三个区域，上方是数据包列表，中间是协议分层详情，下方是原始十六进制数据

5 如果数据包数量很大，可以在显示过滤栏输入过滤表达式，比如 ip.addr 等于目标 IP，tcp.port 等于端口，快速筛选需要的流量

6 需要追踪某一条 TCP 会话，可以右键数据包，选择追踪流，查看完整双向通信内容

Linux 命令行打开方式

Linux 环境没有图形界面的时候，使用 tshark 读取 pcap，命令格式 tshark -r 文件名.pcap，-r 参数就是读取 pcap 文件。如果用 tcpdump 读取，命令是 tcpdump -r 文件名.pcap，还可以追加过滤参数，只显示指定协议的数据包。命令行工具优势是占用资源低，可以配合重定向把分析结果导出成文本，适合自动化脚本处理。

注意事项

pcap 文件体积可能非常大，长时间抓包的文件几个 G 很常见，打开的时候 Wireshark 会占用大量内存，如果电脑内存偏小，打开超大 pcap 容易卡顿崩溃，可以先使用 editcap 工具对 pcap 进行切片拆分，再分段打开分析。另外部分 pcap 是加密抓包，比如 TLS 加密流量，就算成功打开 pcap，也只能看到加密后的密文，需要提前导入 SSL 密钥，才能解密查看明文内容。

综合来看，日常分析 pcap 首选 Wireshark，服务器无桌面环境就选用 tshark 或者 tcpdump，不要尝试记事本这类纯文本软件直接打开，只会得到乱码，无法正常解析网络数据包。

【常见问题】

问题 1 记事本打开 pcap 文件全是乱码是什么原因

回答 1 记事本打开 pcap 文件出现乱码，是因为 pcap 文件是二进制数据包格式，不是纯文本文件，记事本只能识别字符编码，无法解析二进制抓包数据，需要改用 Wireshark 打开 pcap 文件。

问题 2 打开 pcap 文件提示文件损坏怎么办

回答 2 打开 pcap 文件提示损坏，大概率是抓包过程中断网或者程序异常退出，文件头部校验出错，可以先用 editcap 修复 pcap 文件，修复完成之后再使用 Wireshark 打开 pcap 文件。

问题 3 pcapng 和 pcap 文件打开方法一样吗

回答 3 pcapng 和 pcap 文件打开方法基本一致，Wireshark 同时兼容两种格式，可以直接打开 pcap 文件也可以打开 pcapng，但是部分老旧版本 tcpdump 只支持 pcap，读取 pcapng 会报错。

问题 4 能不能手机上打开 pcap 文件

回答 4 手机可以打开 pcap 文件，安卓平台有少量第三方抓包分析 APP 支持加载 pcap，但是协议解析能力远弱于电脑端 Wireshark，复杂协议分析不推荐手机打开 pcap 文件。

【免责申明】

本文为技术科普教程，分析 pcap 流量请遵守相关法律法规，不得未经授权抓取解析他人网络通信，不同版本软件参数存在差异，操作请以软件官方文档为准。