如何知道一個(gè) tcpdump 文件的時(shí)間范圍?

ailms

例如有一個(gè) tcpdump 抓取的文件，你并不知道是抓取了多少秒的數(shù)據(jù)包。

有沒(méi)有什么好的方法快速知道呢?

我現(xiàn)在的方法是用

1. 
   
2. tcpdump -tt -r $capFile 2>/dev/null | sed -n '1p;$p' | awk '{start=$1;getline;end=$1;};END {print end-start}'
   

復(fù)制代碼

但這個(gè)時(shí)間基本等于 tcpdump 運(yùn)行的時(shí)間，也就是如果抓取10秒，那么這個(gè)過(guò)程也就是10秒，也就是基本等同于重放了

請(qǐng)問(wèn)各位有沒(méi)有更好的方法?

ailms

回復(fù) 2# zooyo


不好意思，現(xiàn)在的情況是已經(jīng)有了 tcpdump 的文件，要反過(guò)來(lái)知道是截取了多長(zhǎng)時(shí)間   

ailms

回復(fù) 4# zooyo


恩，不過(guò) tcpdump -tt 就可以打印原始時(shí)間戳了，我現(xiàn)在用的就是這種方式。

但這種方式，感覺(jué)還是需要遍歷整個(gè) capture file ，有沒(méi)有更快的方式呢?

ailms

多謝 zooyo，我試試

ailms

zooyo 發(fā)表于 2013-07-24 11:29
64位機(jī)器上編譯通過(guò), 32位的話, header->ts.tv_sec的類(lèi)型是long long型, 需要改改.

測(cè)試了，可以用，而且很快.

贊