dumpcap 是 Wireshark 套件中的一個命令行工具，用于捕獲網絡流量。默認情況下，dumpcap 會以原始格式捕獲數據包，但也可以配置為在捕獲時進行解碼。以下是如何使用 dumpcap 進行數據包解碼的步驟：
基本捕獲：
使用 dumpcap 的基本命令格式如下：
dumpcap -i <interface> -w <output_file>
其中 <interface> 是要捕獲流量的網絡接口，<output_file> 是保存捕獲數據的文件。
實時解碼顯示：
如果你想在捕獲的同時實時查看解碼后的數據包信息，可以使用 -l 選項（啟用小端模式）和 -q 選項（減少輸出的信息量），以及 -T fields 選項來指定輸出的字段。例如：
dumpcap -i <interface> -w <output_file> -l -q -T fields -e frame.number -e ip.src -e ip.dst -e tcp.port
這將捕獲數據包并實時顯示幀號、源IP地址、目的IP地址和TCP端口號。
使用過濾器：
dumpcap 支持使用 BPF（Berkeley Packet Filter）語法來過濾捕獲的數據包。例如，如果你只想捕獲目的端口為80的TCP數據包，可以使用以下命令：
dumpcap -i <interface> -w <output_file> 'tcp port 80'
解碼特定協議：
dumpcap 通常能夠自動檢測并解碼常見的網絡協議。但是，如果你需要強制解碼特定的協議，可以使用 -V 選項后跟協議的名稱。例如，要強制解碼HTTP協議，可以使用：
dumpcap -i <interface> -w <output_file> -V http
保存為特定格式：
dumpcap 允許你將捕獲的數據包保存為不同的格式，例如PCAPNG或CSV。使用 -W 選項指定輸出格式，例如：
dumpcap -i <interface> -w <output_file> -W pcapanng
讀取和寫入文件：
dumpcap 也可以用來讀取已有的PCAP文件，并將其寫入到另一個文件中，同時進行解碼。例如：
dumpcap -r <input_file> -w <output_file>
請注意，dumpcap 的某些功能可能需要管理員權限才能運行。如果你遇到權限問題，可以嘗試使用 sudo（在Linux系統上）來提升權限。
在使用 dumpcap 時，建議查閱最新的官方文檔或使用 dumpcap --help 來獲取最準確的信息，因為工具的功能和選項可能會隨著版本的更新而變化。
