Wireshark如何将PS流（如H.264/RTP）导出并合成可播放视频？

Question

常见技术问题：Wireshark本身不支持直接将RTP封装的H.264流（常误称为“PS流”，实为RTP/AVP或RTP/SAVP）导出为可播放的MP4或AVI视频文件。用户常尝试通过“Export Packet Bytes”或“Follow UDP Stream”导出原始字节，但所得数据缺乏NALU起始码补全、时间戳对齐、SPS/PPS提取与注入、帧顺序重组及容器封装等关键步骤，导致FFmpeg等工具解码失败（如“missing SPS/PPS”“Invalid NAL unit size”）。此外，RTP载荷常含负载类型、序列号、时间戳、扩展头等开销，需先经`rtpdump`→`rtptools`或`tshark + custom script`剥离并还原为Annex B格式（00 00 00 01分隔），再调用FFmpeg以`-vcodec h264 -f h264`输入、`-c:v copy -f mp4`封装。自动化流程缺失、丢包/乱序未处理、B帧依赖关系断裂，是合成失败的主因。

Answer 1

```html

一、常见技术问题：Wireshark无法直出可播放H.264视频的本质原因

Wireshark 是网络协议分析器，非媒体处理工具。其“Export Packet Bytes”仅导出原始UDP/RTP载荷（含RTP头+H.264 NALU），未剥离RTP封装、未补全Annex B起始码（00 00 00 01）、未提取SPS/PPS、未处理时间戳与序列号映射，导致输出字节流不符合H.264 Annex B裸流规范。

二、核心障碍深度拆解（由浅入深）

1. RTP封装残留：每个UDP包含12字节RTP头（含sequence、timestamp、SSRC），直接拼接将使FFmpeg误判为非法NALU；
2. NALU边界丢失：RTP可能单包多NALU或跨包NALU（如FU-A分片），需按RFC 3984解析并重组；
3. SPS/PPS缺失或错位：关键编码参数通常仅在IDR帧前以独立RTP包发送，若丢包或未提前捕获，则FFmpeg报missing SPS/PPS；
4. 时间戳与PTS/DTS失准：RTP timestamp为90kHz时钟，需转换为MP4容器所需的时间基（如1/1000s），且B帧依赖关系要求严格DTS排序；
5. 丢包与乱序未恢复：UDP无重传机制，Wireshark不提供NACK/PLI模拟或FEC还原能力，导致关键帧断裂、解码器卡顿或崩溃。

三、标准化分析流程（端到端链路）

graph LR A[Wireshark捕获.pcap] --> B{tshark -Y 'rtp && ip.dst==TARGET' -T fields -e rtp.payload} B --> C[rtpdump格式转换] C --> D[rtptools/rtpplay → h264depacketize] D --> E[Annex B H.264裸流
00 00 00 01 + SPS + PPS + IDR + ...] E --> F[FFmpeg封装：
ffmpeg -f h264 -i stream.h264 -c:v copy -f mp4 -movflags +faststart out.mp4]

四、实战解决方案对比表

方案	适用场景	是否支持丢包补偿	自动化程度	关键依赖
rtpdump + rtph264depay	稳定单播、无丢包环境	否	中（需shell脚本串联）	rtptools套件
tshark + Python解析器	需定制化处理（如FU-A重组、SPS缓存注入）	可扩展（加滑动窗口校验）	高（支持CLI/API集成）	scapy、av、numpy
Wireshark内置“Export RTP Stream”→ FFmpeg -f lavfi -i “movie=xxx.h264,videoconvert”	快速验证，不追求播放完整性	否	低（GUI手动操作）	FFmpeg 5.0+

五、推荐工业级自动化脚本（Python + FFmpeg）

#!/usr/bin/env python3
# extract_h264_from_rtp.py
import subprocess, re, sys
from pathlib import Path

def parse_rtp_pcap(pcap: str, dst_ip: str):
    # 提取RTP载荷（十六进制字符串）
    cmd = f'tshark -r {pcap} -Y "rtp && ip.dst=={dst_ip}" -T fields -e rtp.payload'
    payloads = subprocess.check_output(cmd, shell=True).decode().strip().split('\n')
    
    with open("out.h264", "wb") as f:
        sps_pps = b""
        for p in payloads:
            if not p.strip(): continue
            # 去除冒号分隔符，转bytes
            raw = bytes.fromhex(p.replace(':', ''))
            # 剥离RTP头（12字节），保留负载
            if len(raw) > 12:
                nalu = raw[12:]
                # FU-A分片检测与重组逻辑（此处简化）
                if nalu[0] & 0x1F == 28:  # FU-A
                    start_bit = nalu[1] & 0x80
                    end_bit   = nalu[1] & 0x40
                    # 实际需维护FU-A状态机...
                else:
                    # 普通NALU：补00 00 00 01前缀
                    if nalu[0] & 0x1F in (7,8): # SPS/PPS
                        sps_pps = b'\x00\x00\x00\x01' + nalu
                    f.write(b'\x00\x00\x00\x01' + nalu)
        # 强制前置SPS/PPS（关键！）
        if sps_pps:
            f.seek(0, 0)
            f.write(sps_pps)

if __name__ == "__main__":
    parse_rtp_pcap(sys.argv[1], sys.argv[2])
    # 后续调用：ffmpeg -f h264 -i out.h264 -c:v copy -f mp4 -movflags +faststart final.mp4

六、避坑指南（5年+工程师必查清单）

• ✅ 捕获前确认目标流使用RTP/AVP（payload type=96~127）或RTP/SAVP（DTLS-SRTP）——后者需先解密；
• ✅ 使用tshark -r x.pcap -qz rtp,streams验证RTP流是否存在有效SSRC与时序连续性；
• ✅ 若出现Invalid NAL unit size，立即检查是否误将RTP头混入NALU（用xxd验证前4字节是否为00 00 00 01）；
• ✅ MP4封装前务必用ffprobe -v quiet -show_entries packet=pts_time,duration out.h264验证时间戳单调性；
• ✅ 生产环境建议接入WebRTC分析栈（如webrtc-internals + wireshark + sdp分析），避免纯RTP逆向盲区。

```