Com novas versões do WireShark:

• Certifique-se de que o tráfego seja decodificado como SSL, ou seja, configure o analisador SSL para este fluxo TCP em Analyze >> Decode As . Agora ele mostrará os detalhes de SSL para os pacotes.
• Escolha o pacote que contém o certificado, neste caso o pacote 6.
• Nos detalhes do pacote expanda Secure Socket Layer etc até você obter o próprio certificado:

• Use o menu de contexto (clique com o botão direito) e salve os dados brutos do certificado com Export Packet Bytes para um arquivo, por exemplo cert.der.
• Com openssl x509 -inform der -in cert .der -text você pode dar uma olhada no certificado, com openssl x509 -inform der -in cert.der -outform pem -out cert.crt você pode convertê-lo em um PEM formato (ou seja, o que você quer dizer com formato crt).

Nativamente, através do Wireshark:

Como obter o certificado SSL de uma captura de pacote Wireshark:

1. Do Wireshark menu escolha Editar> Preferências e certifique-se de que “Permitir subdissetor para remontar fluxos TCP” esteja marcado nas preferências de protocolo TCP
2. Encontre “Certificado, Servidor Hello” (ou Cliente Hello se for um certificado do lado do cliente que você está interessado em obter.
3. No painel de detalhes do pacote, expanda o protocolo Secure Sockets Layer
4. Expanda o campo “Camada de registro TLSv1: Protocolo de handshake: Certificado”
5. Expanda o campo “Protocolo de handshake: Certificado”
6. Expanda a lista de certificados. Pode haver um ou mais certificados, dependendo da presença de uma cadeia de confiança. O primeiro certificado é o certificado do servidor, o a segunda é a Autoridade de certificação de assinatura, a terceira a CA que confiou / assinou essa Autoridade de certificação e assim por diante.
7. Clique com o botão direito do mouse no cer certificado que deseja obter, escolha “Exportar bytes de pacote selecionados…” e nomeie o arquivo com uma extensão .der.

Como alternativa, ferramentas como ssldump ou Network Miner (e, sem dúvida, outros) podem ser usados.

Experimente o Network Miner

Execute o arquivo PCAP através do Network Miner. Ele extrai certificados e outros tipos de arquivo.