editcap -A и -B: какой часовой пояс мне использовать?

Мне нужно извлечь пакеты в определенные промежутки времени из большого файла pcap. И я обнаружил, что опции editcap -A и -B идеально подходят для этой задачи, за исключением того, что мои целевые диапазоны времени указаны в эпохе, а -A/B требует времени в формате ГГГГ-ММ-ДД ЧЧ:ММ:СС.

Мой вопрос: когда я конвертирую время эпохи в ГГГГ-ММ-ДД ЧЧ:ММ:СС, какой часовой пояс мне следует использовать? (Я не уверен, что это актуально, но большой pcap, который я использую, представляет собой слияние меньших pcap, захваченных из разных часовых поясов).

Я попробовал tshark, который позволяет фильтровать на основе времени эпохи (frame.time_epoch>=X), но tshark кажется дорогим и постоянно убивается сервером Ubuntu, который я использовал.

Будем признательны за любую помощь!


wireshark timestamp-with-timezone tcpdump editcap tshark
person hguo    schedule 05.10.2019    source источник
comment
Используйте время вашей системы. Вы можете проверить это в unixy-системах с помощью date +"%Z %z"   -  person Ross Jacobs    schedule 05.10.2019
comment
Спасибо за ответ! Просто чтобы лучше понять, как это работает: я прав, что временные метки захвата хранятся как время эпохи в pcap внутри, и, таким образом, как только системное время, которое я загружаю в editcap, преобразуется во время эпохи, editcap может извлекать правильные пакеты независимо от того, какой часовой пояс, из которого перехватываются пакеты?   -  person hguo    schedule 05.10.2019

Ответы (1)


arrow_upward
0
arrow_downward

Используйте время вашей системы.

100% правильно. Время анализируется и затем передается подпрограмме (mtkime()), которая преобразует значение года/месяца/дня/часа/минуты/секунды по местному времени в часовом поясе машины во время POSIX («время эпохи», где «время эпохи»). " - это эпоха UN*X/POSIX 01-01-1970 00:00:00 UTC).

Я прав, что временные метки захвата хранятся как время эпохи в pcap внутри?

Да.

и, таким образом, как только системное время, которое я передаю в editcap, преобразуется во время эпохи, editcap может извлекать правильные пакеты независимо от того, из какого часового пояса пакеты перехватываются?

Да.

person user12175407    schedule 07.10.2019