https://www.mywiki.cn/Hovercool/index.php?action=history&feed=atom&title=%E4%BF%AE%E5%A4%8Dtcpdump%E6%96%87%E4%BB%B6
修复tcpdump文件 - 版本历史
2026-09-01T04:46:32Z
本wiki上该页面的版本历史
MediaWiki 1.45.1
https://www.mywiki.cn/Hovercool/index.php?title=%E4%BF%AE%E5%A4%8Dtcpdump%E6%96%87%E4%BB%B6&diff=809&oldid=prev
2015年5月6日 (三) 08:34 Hovercool
2015-05-06T08:34:07Z
<p></p>
<p><b>新页面</b></p><div>一、首先要了解一下tcpdump文件的文件格式：<br />
<br />
http://wenku.baidu.com/view/b494e20616fc700abb68fcb6.html<br />
<br />
二、开始修复<br />
<br />
推荐工具：winHex<br />
<br />
1、清除多余的空数据<br />
<br />
为了减小log大小，logPuller在导出log时，会先将各log文件清零，故拿到的tcpdump文件前部分会有很多"00000000 00000000"之类的数据，故把这部分数据清除(很多的情况下，可能这些无用数据比有用数据还要多，此时可以考虑把有用数据复制到一个新文件)<br />
<br />
2、对齐数据<br />
<br />
在数据中找到第一个packet头的开始处，格式如下：<br />
<pre><br />
XX 00 00 00 XX 00 00 00<br />
</pre><br />
如：<br />
<pre><br />
44 00 00 00 44 00 00 00<br />
</pre><br />
保留其前面8个Byte，然后把其前面的数据均删除<br />
*注，此字段不一定是对齐的，如有可能是：<br />
<pre><br />
50 06 67 04 00 44 00 00 00 44 00 00 00 00 03<br />
</pre><br />
<br />
3、在开头处补齐 tcpdump格式文件头<br />
<pre><br />
D4 C3 B2 A1 02 00 04 00 00 00 00 00 00 00 00 00<br />
FF FF 00 00 71 00 00 00<br />
</pre><br />
<br />
4、修复完毕，赶紧把文件保存一下，拖到wireshark试一下吧</div>
Hovercool