PCAP 文件模式 — 把抓包保存到手机存储

原理

PCAP File 模式将抓包数据持续写入 Android 本地文件系统的一个 .pcap 文件。开始抓包前 PCAPdroid 会弹出系统文件选择器让你指定文件名和保存位置。

开始抓包

1. Status 标签页 Dump Mode 选 PCAP File
2. 点播放按钮，系统弹出文件保存对话框
3. 选择一个目录和文件名，确定后开始抓包
4. 抓包进行中 PCAP 数据持续追加写入文件

停止后的操作

停止抓包后 PCAPdroid 会弹出一个对话框，提供三个选项：

• 分享：通过 Android 标准分享面板把 PCAP 文件发送到其他应用、云盘、邮件等
• 删除：从手机存储中删除这个 PCAP 文件
• 保留：什么都不做，文件留在原位置

如果你的 Android TV 或某些设备不支持文件选择对话框，PCAPdroid 会自动生成一个文件名并保存到 Downloads 目录。

关于存储位置

PCAP 文件可能很大，特别是长时间或大流量抓包时。建议：

• 优先保存在大容量分区或外接存储卡
• 定期清理旧的 PCAP 文件，避免占满存储空间
• 如果抓包数据只是临时分析用，用完就选「删除」

TLS 解密与 PCAP 文件的配合

如果同时开启了 TLS 解密，停止抓包时除了 .pcap 文件外，还会在同目录生成一个同名 .keylog 文件。这个文件里就是 Wireshark 需要的 SSLKEYLOGFILE（TLS 主密钥日志），在电脑上打开 PCAP 时需要把 keylog 文件路径配到 Wireshark 的 TLS 设置里。

如果购买并启用了付费版 Pcapng 格式（见 Pcapng 格式优势页），密钥会直接嵌入到 pcapng 文件中，不再需要单独的 keylog 文件——这是 Pcapng 格式最大的实际好处。

优点与局限