一、拆包

　　首先宣告這種方法比較複雜而且需要點技術水平，不建議菜鳥嘗試（可以使用WireEdit編輯pcap包，不過要聯網）其實在熟練這種方法後也可以很快的，但這種方法主要還是方便吧，不用下載其他什麼軟體。(除了WireShark)

不過菜鳥也不會點進這篇技術文章吧。

先說主要思想

editcap和text2pcap是WireShark自帶的兩款功能強大的命令列程式

editcap是wireshark的命令列工具可以實現切割包和具體報文

text2pcap可以根據你匯出來的字元資料重新轉化為資料報文

因此我們可以先對原始包切割，切出想要的報文幀

匯出為資料字串

修改資料字串

再用text2pcap轉回報文，這樣就完成了修改工作。

接下來是實際操作過程，我將把我遇到的比較複雜的例子來講解，其他情況以此類推：

例子是一個巨幀TCP報文，人工實現IP分片功能。

開啟CMD控制檯視窗

轉到WireShark安裝目錄 cd C:\Program Files\Wireshark 找到editcap.exe和text2pcap.exe 如圖

接下來是官方文件editcap.html和text2pcap.html，我只截有用到的部分。

首先切割檔案，找到巨幀的那個報文序號，利用editcap來把pcap檔案拆成三部分：巨幀報文之前的部分，巨幀報文一部分，巨幀之後部分。命令如下：

editcap -r C:\Users\Administrator\Desktop\LargePcap.pcapng C:\Users\Administrator\Desktop\Header.pcapng 1-31

editcap -r C:\Users\Administrator\Desktop\LargePcap.pcapng C:\Users\Administrator\Desktop\JuZhen.pcapng  32

editcap C:\Users\Administrator\Desktop\LargePcap.pcapng C:\Users\Administrator\Desktop\Tail.pcapng 1-32

這裡的巨幀是第32條報文，長度為2974明顯大於乙太網幀的1500，所以你必須要處理pcap包，才能使這個包符合實際的傳輸過程；命令中 -r 引數是保留指定報文，不加的話是剔除指定報文。

這裡預設是pcapng格式，如果要轉格式加 -F（詳細見上面的說明）；

把這個包拆成兩部分： 一個1514（MTU 可能不同）另一個1460。這裡使用 -C 引數來剪報文內的資料。

editcap -C -1460:1460 C:\Users\Administrator\Desktop\JuZhen.pcapng C:\Users\Administrator\Desktop\result_1.pcapng

editcap -C 54:1460 C:\Users\Administrator\Desktop\JuZhen.pcapng C:\Users\Administrator\Desktop\result_2.pcapng

這個語句要注意的是 offset ：length offset是偏移，length是裁剪長度；還有就是要知道命令是把指定的給去除掉 （PS：我在這繞了很久）。

二、改包

　　開啟result_1.pcapng和result_2.pcapng檔案選中要改的報文，複製 -> as Hex Dump ,然後新建一個txt檔案右鍵貼上。

我把result_1.pcapng 和 result_2.pcapng 複製到 result_1.txt、result_2.txt中

接下來就是重中之重了 -------- 修改報文中的資料

同時開啟result.pcapng 和 result.txt，在WireShark中找到要修改的位元組，對照著txt檔案的相應地方改成你要的數值就行了（要注意不要改動他匯出的檔案格式）

我這裡的這個例子是要改動IP層的Total Length、Identification 和 Header CheckSum

以及TCP層的Sequence Number 和 Checksum

在txt中改掉對應的16進位制，儲存就完成了改包。

三、合包

　　然後使用text2pcap來合包操作，兩條語句分別進行 txt Hex 轉 pcapng 網路包

text2pcap C:\Users\Administrator\Desktop\result_1.txt C:\Users\Administrator\Desktop\1.pcapng

 text2pcap C:\Users\Administrator\Desktop\result_2.txt C:\Users\Administrator\Desktop\2.pcapng

生成1.pcapng 和 2.pcapng

　　接下來是調整時間 ，使用 editcap -t 命令，由於不能使用精確時間來設定報文，只能 +偏移 或 -偏移來調正時間：

editcap -t -xxxx 1.pcapng

editcap -t -xxxx 2.pcapng

先檢視 Header.pcapng 最後一條報文準確時間 和 Tail.pcapng 第一條報文時間，在根據要調整的報文時間進行加減

這裡我就不寫例子了（注意要在 Header.pcapng 最後一條報文準確時間 和 Tail.pcapng 第一條報文時間範圍內）

最後是合併包部分，順序是  Header.pcapng <-  1.pcapng  <-  2.pcapng   <- Tail.pcapng

四、結束

放張結果圖，第32和33條報文是裁剪後的結果。

其實這種辦法也不是特別麻煩吧！！不是很麻煩。。。。吧，。麻煩。好吧其實搞到這裡我也沒什麼耐心了，這種方法我也沒找到什麼優點，在最後我也只是想記錄一下，我掙扎的過程、學習的過程，僅此而