[pcap1] 文件恢复
学习资料来源：
http://blog.51cto.com/yttitan/1737904
这里记录一下自己觉得重要的过程
首先需要过滤包：http.request.method==POST，因为我们是需要从中恢复出上传的文件
拖动下发现209号包格式不同，且有Upload image，打开分析
在应用层：
在传输层：
这里可以看到，由于文件比较大，所以拆分成了16个帧进行文件传输
于是，可以选择209号包进行TCP流的追踪
这里需要去了解一下jpg的文件格式
这是以Hex转储形式看到的
如果以ASCII的形式会是这样：
可以看到分隔符是两个回车符
分隔符是一个回车符
点击save as：保存为catchme.bin，用winhex打开它，根据刚才说的分隔符修改文件，修改后缀名为jpg，打开：
注意：在保存的时候一定要保存原始数据，不然显示的数据和原始数据不同，保存下来的都是错误的
0D0A0D0A之前的（包括）全部删掉
0D0A之后的（包括）全部删掉
然后保存jpg，打开：
