name: pcap-analyzer
description: 使用 tshark 分析 PCAP/PCAPNG 文件，并生成结构化的网络取证摘要（通信节点、端口、DNS、TLS、HTTP、异常行为）。
homepage: https://www.wireshark.org/docs/man-pages/tshark.html
metadata:
{
"openclaw":
{
"emoji": "🦈",
"requires":
{
"bins": ["tshark", "awk", "sed"],
"files": ["/home/tom/openclaw-tools/pcap_summary.sh"]
},
"notes":
[
"该技能仅执行本地分析，不会外泄 PCAP 文件。",
"建议使用只读权限；请勿修改用户文件。"
]
}

}

PCAP Analyzer (tshark)

该技能将数据包捕获文件转化为人类可理解、可操作的实用报告，适用于实验环境分析、安全事件初步研判以及 CPENT 风格的实操练习。

输出内容

一份结构化报告，包含以下部分：

• 捕获元数据：文件类型、大小、首/末时间戳（如可用）
• 主要通信节点（Top talkers）：按数据包数/字节数排序的端点（支持 IPv4/IPv6，如有）
• 会话（Conversations）：流量最高的 TCP/UDP 会话
• 服务/端口视图（Service/port view）：最常出现的 TCP/UDP 目标端口
• DNS：查询频率最高的域名 + 异常模式（如疑似 DGA 域名、超长标签等）
• TLS：SNI（Server Name Indication）及常见 JA3 类指纹（若存在，尽力提取）
• HTTP：Host 头部 / URL（若存在且为明文或已解密，尽力提取）
• 异常行为（Anomalies）（基于启发式规则，尽力识别）：
  • 仅含 SYN 的扫描行为 / 高频 SYN 请求
  • 大量 RST 数据包
  • 重传突发（retransmission bursts）
  • 罕见目标端口访问
  • 单一主机连接大量不同目标主机（类似信标行为）

输入参数

必需提供：

• pcap_path：本地机器上 .pcap 或 .pcapng 文件的**完整路径**。

可选参数：

• focus_host：指定关注的 IP 地址（报告将围绕该主机进行过滤与汇总）
• time_window：用户指定的显示过滤器时间窗口（仅作最佳实践参考，非严格生效）

运行方式（终端）

{baseDir}/scripts/analyze.sh "/full/path/to/capture.pcapng"