Analisador PCAP

Largue uma captura de pacotes —.pcap ou .pcapng— e obtenha a vista dos primeiros dez minutos: as conversas que moveram os bytes, cada pergunta e resposta DNS, os pedidos HTTP em texto simples, os nomes de servidor TLS e as impressões digitais JA3, e uma breve lista de credenciais que atravessaram a rede sem encriptação. O ficheiro nunca sai do seu dispositivo: é analisado nesta página, não é carregado, porque uma captura é prova e a prova não se publica nos servidores de estranhos.

Ou largue o ficheiro em qualquer parte desta caixa. A análise é feita em blocos com uma indicação de progresso, para que uma captura de vários megabytes não congele o separador.

Para que servem os primeiros dez minutos

Uma captura é normalmente feita à pressa —algo está lento, algo está a falar com o sítio errado, algo é suspeito— e aberta sob pressão. A ordem das perguntas importa mais do que qualquer resposta isolada. Comece pelas conversas: ordenadas por bytes, dizem quem realmente usou a rede nessa janela, e a surpresa costuma ver-se de imediato — uma estação de trabalho com uma longa conversa com um endereço que ninguém reconhece, um servidor que envia muito mais do que descarrega, um protocolo que não devia estar ali. Depois o DNS, porque os nomes são intenção: as consultas que um anfitrião fez são o mais próximo que uma captura tem de um histórico de navegação do que ele tentava alcançar, e as respostas fixam esses nomes a endereços no momento da captura, não como o DNS resolve hoje. Depois os metadados TLS: a encriptação esconde o conteúdo, não a existência — os nomes SNI e as impressões digitais JA3 ainda dizem que serviços foram contactados e que tipo de software cliente fez a ligação. Por fim, as surpresas em texto simples: os pedidos HTTP e os avisos de credenciais, porque em 2026 qualquer palavra-passe que atravesse uma rede legível por um observador passivo é um incidente por si só, qualquer que tenha sido a pergunta original. O guia complementar, os primeiros dez minutos com uma captura de pacotes, percorre essa ordem como um fluxo de trabalho, incluindo quando parar a triagem e abrir o Wireshark.

Três limites honestos definem o que esta página afirma. Não volta a montar fluxos TCP — lê os pacotes um a um e agrega-os em fluxos, pelo que um pedido HTTP ou um ClientHello que a captura dividiu por segmentos pode escapar; as capturas feitas num anfitrião (e não numa derivação) também mostram artefactos de descarga de segmentação, uma ressalva que o guia explica. Não desencripta nada: não há onde colar um registo de chaves, deliberadamente, porque os registos de chaves estão entre os ficheiros mais sensíveis que existem e não pertencem a uma página web. E a sua lista de credenciais é um conjunto de padrões reconhecidos, não uma auditoria — a ausência de um aviso não é prova de ausência. O que garante é a direção do fluxo de dados: a sua captura é lida por código que corre no separador do seu navegador e nunca é carregada, registada ou partilhada, pelo que a própria triagem não pode tornar-se a fuga. Para capturas que começam num servidor em produção, o scanner de portas mostra o que o anfitrião expõe e o analisador de cabeçalhos de email cobre o outro ficheiro que chega durante um incidente — a própria mensagem suspeita.

Perguntas frequentes

Para onde vai o meu ficheiro de captura?

Para lado nenhum. O ficheiro é lido e analisado nesta página, no seu dispositivo, e nada é carregado, transmitido ou armazenado — a página não faz nenhum pedido de rede quando analisa um ficheiro. É um desenho deliberado, porque uma captura de pacotes é um dos ficheiros mais sensíveis de uma rede: contém endereços internos, nomes de anfitrião e — nos protocolos em texto simples — credenciais literais. Também funciona offline depois de a página carregar, que é onde uma captura costuma ser lida de qualquer forma: na máquina que a fez, muitas vezes durante um incidente.

Que formatos de captura e tipos de ligação são suportados?

PCAP clássico em qualquer ordem de bytes, com marcas temporais de microssegundos ou nanossegundos, e PCAPNG — blocos de secção, interface, pacotes melhorados e simples, além de blocos de resolução de nomes, cujos nomes registados são mostrados no resumo. Tipos de ligação: Ethernet (incluindo quadros com etiqueta VLAN), IP em bruto, loopback BSD e Linux cooked SLL e SLL2. São descodificados IPv4 e IPv6, TCP, UDP e ICMP. Outros tipos de ligação são contados na mistura de protocolos mas não descodificados, e o resumo diz isso em vez de ficar em silêncio.

O que é que ele não consegue fazer?

Três limites, ditos claramente. Não volta a montar fluxos TCP — a análise é por pacote mais agregação por fluxo, pelo que um ClientHello ou um pedido HTTP dividido por segmentos pode escapar. Não consegue desencriptar nada: o TLS e o restante tráfego encriptado só produzem metadados (nome do servidor, ALPN, JA3), nunca conteúdo. E as suas descobertas de credenciais são avistamentos, não um atestado de boa saúde — assinala os padrões em texto simples que reconhece (HTTP Basic, FTP, SMTP AUTH, POP3, IMAP, telnet), e a ausência de um sinal não prova nada sobre os protocolos que não inspeciona. Para o trabalho profundo — seguir fluxos, dissecadores de protocolos, desencriptação com registos de chaves — use o Wireshark; esta página são os primeiros dez minutos, não a investigação inteira. O guia complementar, os primeiros dez minutos com uma captura de pacotes, expõe essa ordem de triagem.

O que é a impressão digital JA3 mostrada para as ligações TLS?

JA3 é uma forma padrão de identificar um cliente TLS a partir do seu ClientHello: a versão do TLS, os conjuntos de cifras, as extensões, as curvas elípticas e os formatos de ponto, enumerados por ordem como números decimais (com os valores GREASE removidos), unidos numa cadeia e resumidos com MD5. Dois clientes com a mesma biblioteca e as mesmas definições produzem o mesmo JA3; um scanner ou uma família de malware costuma ter um característico. Identifica os hábitos do software cliente, não o utilizador, e muda quando as bibliotecas são atualizadas — trate-o como uma pista de agrupamento, não como uma identidade.

Que tamanho de captura posso abrir?

Ficheiros até 25 MB. Esse teto é deliberado: todo o ficheiro mais as estruturas da análise vivem na memória do seu separador, e um navegador de computador trata disso confortavelmente, enquanto um telemóvel pode não conseguir. Nos testes, uma captura de 10 MB com cerca de 90 000 pacotes foi analisada em cerca de um segundo. Para algo maior, filtre primeiro no momento da captura ou com editcap/tcpdump na sua própria máquina — tcpdump -r big.pcap -w slice.pcap host 203.0.113.10 — e traga o excerto para aqui.