如何将Wireshark捕获的JPEG格式TCP流转换为JPG图片？

• 移除HTTP头部（如果存在）
  多数包含image/jpeg的TCP流是HTTP响应的一部分，开头会带有HTTP响应头（比如HTTP/1.1 200 OK、Content-Type: image/jpeg等字段），这些不属于JPG文件内容。用十六进制编辑器打开保存的bin文件，找到第一个FF D8（JPG起始标记）的位置，从该位置开始截取，直到文件末尾的FF D9（JPG结束标记），将截取后的内容保存为新的.jpg文件。

• 确保TCP流已完整重组
  若直接保存的TCP流存在分片未合并、数据乱序或丢包情况，会导致文件无效。用Wireshark重新处理：找到对应TCP流条目，右键选择「Follow > TCP Stream」，在弹出窗口中将「Show and save data as」设置为「Raw」，再点击「Save As」保存文件。Wireshark会自动完成TCP分片重组，过滤无效传输数据。

• 用命令行工具快速截取有效数据
  若已通过十六进制编辑器确定JPG起始字节偏移量（比如偏移量为150字节），可直接用命令行截取：

  • Linux/macOS 使用dd命令：

    dd if=input.bin of=output.jpg skip=150 bs=1
    

  • Windows 使用PowerShell：

    Get-Content input.bin -Raw -Encoding Byte | Select-Object -Skip 150 | Set-Content output.jpg -Encoding Byte
    

• 验证文件完整性
  保存后用图片查看器直接测试，或用file命令检查：

  file output.jpg
  

  若输出显示JPEG image data，说明文件有效。

内容的提问来源于stack exchange，提问作者Tzadik Even