如何知道一个 tcpdump 文件的时间范围?

ailms

例如有一个 tcpdump 抓取的文件，你并不知道是抓取了多少秒的数据包。

有没有什么好的方法快速知道呢?

我现在的方法是用

1. 
   
2. tcpdump -tt -r $capFile 2>/dev/null | sed -n '1p;$p' | awk '{start=$1;getline;end=$1;};END {print end-start}'
   

复制代码

但这个时间基本等于 tcpdump 运行的时间，也就是如果抓取10秒，那么这个过程也就是10秒，也就是基本等同于重放了

请问各位有没有更好的方法?

ailms

回复 2# zooyo


不好意思，现在的情况是已经有了 tcpdump 的文件，要反过来知道是截取了多长时间   

ailms

回复 4# zooyo


恩，不过 tcpdump -tt 就可以打印原始时间戳了，我现在用的就是这种方式。

但这种方式，感觉还是需要遍历整个 capture file ，有没有更快的方式呢?

ailms

多谢 zooyo，我试试

ailms

zooyo 发表于 2013-07-24 11:29
64位机器上编译通过, 32位的话, header->ts.tv_sec的类型是long long型, 需要改改.

测试了，可以用，而且很快.

赞