Файл с расширением .cap чаще всего представляет собой дамп сетевого трафика, записанный программами вроде Wireshark, tcpdump или утилитами аудита беспроводных сетей, и задача «cap to bin» обычно возникает, когда инструмент, с которым вы работаете, принимает только бинарный формат .bin. Проблема в том, что прямой однокнопочной конвертации между этими форматами не существует: CAP — это структурированный контейнер пакетов с заголовками, а BIN — обобщённое расширение для любых двоичных данных.
Поэтому перед конвертацией нужно ответить на два вопроса: какого типа ваш CAP-файл и какая программа будет читать итоговый BIN. От ответа зависит выбор инструмента и сама процедура. Ниже разберём основные сценарии и рабочие способы преобразования.
Что скрывается за расширением .cap
Расширение .cap используется сразу несколькими семействами программ, и это главный источник путаницы. Чаще всего встречаются такие варианты:
- 📡 Дамп сетевого трафика — файл формата libpcap, создаваемый Wireshark, tcpdump, airodump-ng и аналогами.
- 🛰️ Захват беспроводных пакетов — частный случай первого пункта, например файл с рукопожатием (handshake) WPA, записанный при аудите Wi-Fi.
- 💾 Файл проекта или данных — некоторые специализированные программы (САПР, среды разработки) используют расширение .cap для собственных форматов.
- 🧩 Образ или капсула — редкие случаи, когда .cap является контейнером прошивки или обновления.
Определить тип файла можно простым способом: откройте его в шестнадцатеричном редакторе или выполните в терминале команду file имя_файла.cap (в Linux) либо посмотрите первые байты. Для классического libpcap-файла в начале стоят характерные «магические» байты — например, последовательность d4 c3 b2 a1 или a1 b2 c3 d4 в зависимости от порядка байтов. Если вместо этого видны читаемые строки или другая структура, файл относится к другому типу.
Что означает «bin» в вашем случае
В отличие от CAP, расширение .bin не описывает конкретный формат — это просто соглашение «внутри двоичные данные». Требование «нужен bin-файл» обычно исходит от конкретной программы: прошивальщика микроконтроллера, инструмента аудита, эмулятора или утилиты восстановления. Именно документация этой программы определяет, что должно лежать внутри файла.
Типичные сценарии, когда требуется преобразование cap в bin:
- 🔧 Извлечь из дампа трафика полезную нагрузку — например, файл, передававшийся по сети, и сохранить его как бинарный.
- 🔑 Подготовить данные из захвата WPA-handshake для инструмента, который ожидает сырой бинарный вход.
- 📦 Упаковать содержимое CAP-контейнера в образ для загрузки в устройство.
⚠️ Внимание: простое переименование файла из .cap в .bin не меняет его внутреннюю структуру. Если целевая программа ожидает определённый формат данных, переименованный файл она либо не примет, либо обработает некорректно. Переименование работает только тогда, когда программе важно именно расширение, а читает она стандартный pcap-поток.
Способ 1: извлечение данных через Wireshark
Если задача — вытащить из дампа бинарные данные (переданный файл, поток, прошивку), проще всего использовать Wireshark, который и создаёт, и читает CAP-файлы. Программа бесплатна и доступна для Windows, Linux и macOS.
Порядок действий для типовых задач выглядит так. Для извлечения объектов, передававшихся по HTTP, откройте файл и перейдите в меню File → Export Objects → HTTP, выберите нужный объект и сохраните его — на выходе получите исходный бинарный файл. Для извлечения сырого TCP-потока кликните правой кнопкой по пакету нужного соединения, выберите Follow → TCP Stream, переключите отображение в режим Raw и сохраните результат через кнопку Save as с расширением .bin.
Если известно, что данные шли по другому протоколу (FTP, SMB, TFTP), проверьте соответствующий пункт в File → Export Objects — набор поддерживаемых протоколов зависит от версии программы.
☑️ Извлечение бинарных данных из CAP через Wireshark
Способ 2: конвертация через утилиты командной строки
Когда нужно преобразовать сам формат контейнера, а не извлечь содержимое, пригодятся консольные инструменты из состава пакета Wireshark. Утилита editcap умеет перекодировать дампы между форматами и «нарезать» их:
editcap -F pcap input.cap output.binЗдесь -F pcap задаёт целевой формат. Учтите, что на выходе всё равно получится pcap-структура с заголовками — просто с другим расширением. Это осмысленно, если принимающая программа читает pcap, но требует файл с именем .bin.
Для извлечения только полезной нагрузки без заголовков пакетов используют tshark — консольную версию анализатора:
tshark -r input.cap -T fields -e tcp.payloadРезультат будет в шестнадцатеричном виде; чтобы получить настоящий бинарный файл, поток дополнительно прогоняют через конвертер hex-to-binary, например xxd -r -p в Linux. Точные имена полей (tcp.payload, data.data и т.п.) зависят от протокола, поэтому сначала посмотрите структуру пакетов в графическом Wireshark.
Способ 3: скриптовая обработка на Python
Для нестандартных задач — например, когда нужно собрать бинарный файл из фрагментов, разбросанных по сотням пакетов, — удобнее всего скрипт на Python с библиотекой Scapy. Она читает pcap-файлы и даёт доступ к каждому слою пакета:
from scapy.all import rdpcap, Raw
packets = rdpcap("input.cap")
data = b""
for p in packets:
if p.haslayer(Raw):
data += bytes(p[Raw].load)
open("output.bin", "wb").write(data)
Этот подход требует понимания структуры трафика: в выгрузку попадут все полезные нагрузки подряд, включая служебные. На практике скрипт дополняют фильтрами по IP-адресу, порту или направлению потока, чтобы в .bin попали только нужные байты. Если вы не уверены в структуре дампа, сначала проанализируйте его в Wireshark и определите критерии фильтрации.
⚠️ Внимание: скриптовая склейка полезной нагрузки не восстанавливает исходный файл автоматически. Данные могут быть фрагментированы, продублированы ретрансмиссиями или идти не по порядку. Всегда сверяйте размер и контрольные признаки результата (например, заголовок известного формата файла) с ожидаемыми.
Сравнение подходов
| Метод | Инструмент | Когда подходит | Сложность |
|---|---|---|---|
| Экспорт объектов | Wireshark (GUI) | Файл передавался по HTTP/FTP/SMB | Низкая |
| Follow Stream → Raw | Wireshark (GUI) | Непрерывный TCP-поток | Низкая |
| Смена формата контейнера | editcap | Программе нужен pcap с именем .bin | Низкая |
| Извлечение payload | tshark + xxd | Пакетная обработка, автоматизация | Средняя |
| Скрипт сборки | Python + Scapy | Фрагментированные или нестандартные данные | Высокая |
Типичные ошибки и как их избежать
Самая частая ошибка — попытка скормить целевой программе исходный CAP-файл, просто переименованный в BIN. Внутри остаются заголовки pcap и служебные поля каждого пакета, поэтому программа либо отклоняет файл, либо молча обрабатывает мусор. Проверяйте результат: откройте итоговый .bin в hex-редакторе и убедитесь, что в начале стоят ожидаемые данные, а не сигнатура pcap.
Вторая проблема — неполный захват. Если дамп записывался с обрывами или фильтрацией, часть данных в нём просто отсутствует, и никакая конвертация их не восстановит. Признак — разрывы в номерах последовательностей TCP, которые видно в Wireshark как «TCP Previous segment not captured». В таком случае единственное решение — повторить захват трафика.
Как проверить целостность извлечённого BIN-файла
Если известен тип исходного файла, проверьте его «магические» байты в начале (например, PK для ZIP, %PDF для документов, MZ для исполняемых файлов Windows). Совпадение сигнатуры и правдоподобный размер — хорошие признаки корректного извлечения. Если сигнатуры нет или файл не открывается целевой программой, вероятно, в выгрузку попали лишние байты или поток собран не полностью.
Третья ситуация — CAP-файл оказался вовсе не дампом трафика, а данными специализированной программы. В этом случае инструменты из статьи не помогут: ищите конвертер или экспортную функцию именно в той программе, которая создала файл.
Часто задаваемые вопросы
Можно ли конвертировать cap в bin онлайн?
Онлайн-сервисы для такой пары форматов практически отсутствуют, потому что задача слишком специфична. Кроме того, загружать дампы трафика на сторонние сервисы небезопасно — в них могут содержаться пароли, cookie и конфиденциальные данные. Используйте локальные инструменты: Wireshark, editcap или скрипты.
Чем открыть CAP-файл, чтобы понять, что внутри?
Стандартный дамп трафика открывается в Wireshark. Если программа не распознаёт файл, посмотрите первые байты в hex-редакторе: сигнатура подскажет реальный формат. Также помогает команда file в Linux.
Будет ли работать файл, если просто переименовать .cap в .bin?
Только если принимающая программа на самом деле читает формат pcap и требование расширения .bin — чистая формальность. Во всех остальных случаях переименование не сработает, так как внутренняя структура файла не изменится.
Как извлечь из дампа handshake WPA в бинарном виде?
Handshake — это набор EAPOL-кадров внутри дампа. Отфильтруйте их в Wireshark выражением eapol и экспортируйте нужные пакеты, либо используйте профильные утилиты конвертации из экосистемы аудита Wi-Fi, которые преобразуют захват в формат конкретного инструмента подбора. Точный формат зависит от того, какая программа будет обрабатывать данные.
tshark выдаёт пустой результат по полю tcp.payload — в чём дело?
Скорее всего, в дамке нет TCP-пакетов с данными (только служебные сегменты) или данные идут по другому протоколу — UDP, QUIC и т.д. Откройте файл в Wireshark, определите реальный протокол и скорректируйте имя поля в команде.