pcap文件格式及文件解析

格式：pdf
大小：975.47 KB
文档页数：15

下载文档原格式

Wireshark的Pcap文件格式分析及解析源码

Wireshark的Pcap文件格式分析及解析源码Wireshark的Pcap文件格式分析及解析源码下面主要介绍下Ethereal默认的*.pcap文件保存格式。

Pcap文件头24B各字段说明：Magic：4B：0x1A 2B 3C 4D:用来标示文件的开始Major：2B，0x02 00:当前文件主要的版本号Minor：2B，0x04 00当前文件次要的版本号ThisZone：4B当地的标准时间；全零SigFigs：4B时间戳的精度；全零SnapLen：4B最大的存储长度LinkType：4B链路类型常用类型：0 BSD loopback devices, except for later OpenBSD1 Ethernet, and Linux loopback devices6 802.5 Token Ring7 ARCnet8 SLIP9 PPP10 FDDI100 LLC/SNAP-encapsulated ATM101 "raw IP", with no link102 BSD/OS SLIP103 BSD/OS PPP104 Cisco HDLC105 802.11108 later OpenBSD loopback devices (with the AF_value in network byte order)113 special Linux "cooked" capture114 LocalTalkPacket 包头和Packet数据组成字段说明：Timestamp：时间戳高位，精确到secondsTimestamp：时间戳低位，精确到microsecondsCaplen：当前数据区的长度，即抓取到的数据帧长度，由此可以得到下一个数据帧的位置。

Len：离线数据长度：网络中实际数据帧的长度，一般不大于caplen，多数情况下和Caplen数值相等。

wireshark 抓包的格式

Wireshark是一种流行的网络分析工具，它可以捕获和分析网络数据包。

Wireshark抓包的格式是非常重要的，它决定了我们如何解析和分析捕获到的数据包。

本文将介绍Wireshark抓包的格式，包括常见的文件类型和数据结构，并探讨如何有效地利用这些格式进行网络分析和故障排查。

一、Wireshark抓包的文件格式Wireshark可以将捕获到的数据包保存为不同的文件格式，其中常见的包括pcap、pcapng、cap、etl等。

不同的文件格式具有不同的特点和用途，下面我们将逐一介绍它们。

1. pcap格式pcap（Packet Capture）是Wireshark最常用的文件格式，它可以保存捕获到的网络数据包以及相关的信息，如时间戳、数据长度、数据内容等。

pcap格式的文件通常使用libpcap或WinPcap库进行读取和分析，它可以跨评台使用，并且被许多网络工具和应用程序所支持。

2. pcapng格式pcapng（Packet Capture Next Generation）是Wireshark的一种新文件格式，它在pcap的基础上进行了扩展和改进，支持更多的元数据和信息字段。

pcapng格式的文件通常包含多个数据块（Block），每个数据块都可以保存不同类型的数据，如捕获配置信息、数据包数据、接口信息等。

pcapng格式的文件在Wireshark 1.8及以上版本中得到支持，在一些特定场景下具有更好的灵活性和可扩展性。

3. cap格式cap格式是一种比较老旧的文件格式，它通常用于微软网络监控工具或特定的硬件设备。

cap格式的文件结构较为简单，通常包含数据包的原始内容和一些简单的元数据信息，不支持一些高级的特性和功能。

4. etl格式etl（Event Trace Log）格式是一种Windows事件跟踪日志文件格式，它通常用于收集系统和应用程序的事件信息。

在一些特定情况下，我们也可以使用Wireshark来解析和分析etl格式的数据包，不过需要借助一些额外的工具和插件。

netflow pcap解析

netflow pcap解析
PCAP（Packet CAPture）是一种用于捕获和存储网络数据包的文件格式。

它通常用于网络分析、故障排除和安全审计等领域。

要解析 NetFlow PCAP 文件，你可以使用专门的网络分析工具或库，这些工具和库可以读取 PCAP 文件并提取其中的 NetFlow 数据。

一些常用的工具和库包括：
1. Wireshark：一款流行的网络协议分析器，它可以读取 PCAP 文件并提供可视化的界面来分析数据包。

2. tcpdump：一个命令行工具，用于捕获和分析网络数据包，可以将其输出保存为 PCAP 文件。

3. libpcap：一个用于处理 PCAP 文件的库，它提供了 API 来读取、解析和处理 PCAP 文件。

解析 NetFlow PCAP 文件的一般步骤包括：
1. 读取 PCAP 文件：使用适当的工具或库，读取 PCAP 文件并加载其中的数据包。

2. 提取 NetFlow 数据：根据 PCAP 文件中记录的数据包，提取出 NetFlow 数据。

NetFlow 数据通常包括源 IP 地址、目标 IP 地址、端口号、协议类型、流量统计等信息。

3. 分析和处理 NetFlow 数据：根据提取的 NetFlow 数据，进行进一步的分析和处理，例如计算流量统计、识别异常流量、绘制网络拓扑等。

请注意，解析 NetFlow PCAP 文件可能需要一定的网络分析知识和技能。

如果你对网络分析不熟悉，建议先学习相关的基础知识和工具使用方法。

此外，具体的解析步骤和方法可能因使用的工具和库而有所不同，请根据你使用的具体工具和库的文档进行参考。

pcap文件格式

PCAP文件格式每个.pcap文件的文件头Pcap Header：24B每个.pcap文件中的数据包头 Packet Header：16B每个.pcap文件中的数据报 Packet Data：14B以太头+TCP/IP数据具体如下：1．pcap文件头部(pcap header)sturct pcap_file_header{DWORD magic;WORD version_major;WORD version_minor;DWORD thiszone;DWORD sigfigs;DWORD snaplen;DWORD linktype;}说明：1、标识位magic：32位的，这个标识位的值是16进制的 0xa1b2c3d4。

32-bit magic number , The magic number has the value hex a1b2c3d4.2、主版本号version_major：16位，默认值为0x2。

返回写入被打开文件所使用的pcap函数的主版本号。

16-bit major version number, The major version number should have the value 2.3、副版本号version_minor：16位，默认值为0x04。

16-bit minor version number, The minor version number should have the value 4.4、区域时间thiszone：32位，实际上该值并未使用，因此可以将该位设置为0。

32-bit time zone offset field that actually not used, so you can (and probably should) just make it 0;5、精确时间戳sigfigs：32位，实际上该值并未使用，因此可以将该值设置为0。

pcap tls协议解析规则

pcap tls协议解析规则
摘要：
1.PCAP 简介
2.TLS 协议概述
3.PCAP 解析TLS 协议的方法
4.PCAP tls 协议解析规则的实际应用
5.总结
正文：
1.PCAP 简介
PCAP(Packet Capture) 是一种网络数据包捕获技术，可以用于监视和分析网络流量。

PCAP 可以捕获网络中的所有数据包，包括TLS 加密协议的数据包。

2.TLS 协议概述
TLS(Transport Layer Security) 是一种安全协议，用于保护网络通信。

TLS 协议通常用于保护Web 浏览器和Web 服务器之间的通信，以及其他需要保护数据传输的应用程序。

3.PCAP 解析TLS 协议的方法
PCAP 可以捕获TLS 协议的数据包，并通过解析这些数据包来获取TLS 协议的详细信息。

PCAP 可以使用各种工具来解析TLS 协议，例如Wireshark 和tcpdump。

4.PCAP tls 协议解析规则的实际应用
PCAP tls 协议解析规则可以用于监视和分析网络流量，以确保网络安全。

例如，可以使用PCAP tls 协议解析规则来检测TLS 协议的漏洞，并采取相应的措施来修复这些漏洞。

5.总结
PCAP 是一种强大的网络数据包捕获技术，可以用于监视和分析网络流量。

Pcap文件解析DES加密_解密_华中科技大_信息安全_软件工程

System.arraycopy(TcpOrUdpData, 26, Ip, 0, 4); return Ip; } public byte[] getDestinationIP() { byte[] Ip = new byte[4]; System.arraycopy(TcpOrUdpData, 30, Ip, 0, 4); return Ip; } public byte[] getSourcePort() { byte[] port = new byte[2]; System.arraycopy(TcpOrUdpData, 34, port, 0, 2); return port; } public byte[] getDestinationPort() { byte[] port = new byte[2]; System.arraycopy(TcpOrUdpData, 36, port, 0, 2); return port; } public static boolean isEqual(DataStructure a,DataStructure b) { if((Arrays.equals(a.getDestinationIP(), b.getDestinationIP())&&Arrays.equals(a.getSourceIP(), b.getSourceIP())&& Arrays.equals(a.getDestinationPort(), b.getDestinationPort())&&Arrays.equals(a.getSourcePort(),b.getSourcePort())) ||(Arrays.equals(a.getDestinationIP(), b.getSourceIP())&&Arrays.equals(a.getSourceIP(), b.getDestinationIP()) &&Arrays.equals(a.getDestinationPort(), b.getSourcePort())&&Arrays.equals(a.getSourcePort(),b.getDestinationPort()))) return true; else return false; } @Override public String toString() { return "DataStructure [packetHeader=" + Arrays.toString(packetHeader) + ", TcpOrUdpData=" + Arrays.toString(TcpOrUdpData) + "]"; } public int getInternetProtocolTotalLength() { byte[] b = new byte[2];

pcap及pcapng格式解析中文版

PCAP下一代转储文件格式PCAP-DumpFileFormatStatus of this MemoThis document is an Internet-Draft and is in full conformance with all provisions of Section 10 of RFC 2026.Internet-Drafts are working documents of the InternetEngineering Task Force (IETF), its areas, and its workinggroups. Note that other groups may also distribute working documents as Internet-Drafts.Internet-Drafts are draft documents valid for a maximum of six months and may be updated, replaced, or obsoleted by other documents at any time. It is inappropriate to useInternet-Drafts as reference material or to cite them other than as “work in progress.”The list of current Internet-Drafts can be accessedat /ietf/1id-abstracts.txt.The list of Internet-Draft Shadow Directories can be accessed at /shadow.html.This Internet-Draft will expire on September 2, 2004. Copyright NoticeCopyright © The Internet Society (2004). All RightsReserved.AbstractThis document describes a format to dump captured packets on a file. This format is extensible and it is currently proposed for implementation in the libpcap/WinPcap packet capturelibrary.Updates∙[27 Jul 2009] Guy Harris: added some missing reserved block types in Appendix B.∙[27 Jul 2009] Guy Harris: fixed a typo in Appendix B.The range of standardized blocks are in the range0x00000000-0x7FFFFFFF.∙[ 8 Feb 2008] Gianluca Varenni: better documentation for the format of the timestamps. Renamed theif_tsaccur option into if_tsresol.∙[22 Oct 2007] Gianluca Varenni: added a note related to 64-bit alignment. Specified that the option lengthfield is the length without padding. typos here and there.Added some option examples.∙[17 Oct 2007] Ulf Lamping: Major review: "Interface ID" in "ISB" now 32 bits. isb_starttime/isb_endtimedepends on if_tsaccur. Lot's of other editing ...∙[ 8 Oct 2007] Ulf Lamping: Fixed several typos.Grouped the block types into mandatory, optional,experimental, obsolete.∙[14 Sep 2006] Gianluca Varenni: Added the block type code for Arinc 429 in AFDX Encapsulation InformationBlock∙[23 May 2006] Gianluca Varenni: Added the block type code for IRIG Timestamp Block∙[23 Apr 2006] Gianluca Varenni: Cleaned up AppendixC a bit: we should use the LINKTYPE_xxx values fromlibpcap, not the DLT_xxx ones. Fixed the introduction tothe appendix and added some comments.∙[21 Mar 2006] Gianluca Varenni: Added a preliminary version of Appendix C, detailing the Standardized LinkTypes.∙[21 Mar 2006] Gianluca Varenni: Added a preliminary version of Appendix B, detailing the Standardized BlockType codes.∙[21 Mar 2006] Gianluca Varenni: Added the Enhanced Packet Block in section 2.2. Fixed a typo in the list: it'sInterface Statistics Block, and not Capture StatisticsBlock.∙[21 Mar 2006] Gianluca Varenni: Fixed some minor typos in the document.∙[21 Mar 2006] Gianluca Varenni: Fixed an error inPacket Block: option pack_hash should have code 3.∙[21 Mar 2006] Gianluca Varenni: Added the definition of the Enhanced Packet Block.∙[12 Mar 2006] Gianluca Varenni: Added optionif_tsoffset in the Interface Description Block.目录PCAP下一代转储文件格式 (1)PCAP-DumpFileFormat (1)Status of this Memo (1)Copyright Notice (1)Abstract (2)Updates (2)1. 目标 (5)2. 文件结构（General File Structure） (5)2.1. 块结构（General Block Structure） (5)2.2. 块类型（Block Types） (6)2.3. 逻辑块层次结构（Logical Block Hierarchy） (7)2.4. 物理文件的布局（Physical File Layout） (7)2.5. 选项（Options） (9)2.6. 数据格式（Data format） (10)3. 块定义（Block Definition） (11)3.1. 节头块（Section Header Block） (11)3.2. 接口描述块（Interface Description Block） (12)3.3. 增强分组块（Enhanced Packet Block） (15)3.4. 简单分组块（Simple Packet Block） (17)3.5. 分组块（Packet Block） (18)3.6. 名称解析块（Name Resolution Block） (20)3.7. 接口统计块（Interface Statistics Block） (22)4. 实验块（Experimental Blocks） (23)4.1. 替代性分组块（Alternative Packet Blocks） (23)4.2. 压缩块（Compression Block） (24)4.3. 加密块（Encryption Block） (24)4.4. 固定长度块（Fixed Length Block） (25)4.5. 目录块（Directory Block） (26)4.6. 流量统计和监控块（Traffic Statistics and Monitoring Blocks） (26)4.7.事件/安全块（Event/Security Block） (26)5. 推荐的扩展名: .pcapng (27)6. 怎样增加供应商/域特定扩展 (27)7. 结论 (27)Appendix A. Packet Block Flags Word (28)Appendix B. Standardized Block Type Codes (28)Appendix C. Standardized Link Type Codes (29)Appendix D. Link Layer Headers (33)Authors' Addresses (34)Full Copyright Statement (34)Intellectual Property (35)Acknowledgment (35)附录：pcap文件格式说明 (36)文件格式 (36)ile Header (36)Record (Packet) Header (37)Packet Data (38)1. 目标交换分组痕迹的问题变得越来越关键。

pcap文件的python解析实例

文章标题：深度解析——pcap文件的python解析实例1. 引言在网络安全和数据分析领域，pcap文件是一种常见的数据格式，用于存储网络数据包。

通过解析pcap文件，我们可以深入分析网络通信的细节，从而识别潜在的安全威胁或者进行网络性能优化。

在本文中，将通过一个具体的python解析实例，深入探讨pcap文件的结构和解析方法，帮助我们更好地理解网络数据交互过程。

2. pcap文件的定义和结构2.1 pcap文件是一种网络数据包文件格式，用于记录在计算机网络上收发的数据包，可以被网络数据包捕获软件（如Wireshark、Tcpdump）所生成。

2.2 pcap文件包括全局文件头和数据包头部分。

全局文件头描述了整个pcap文件的基本信息，如魔数、版本号、时间戳精度等；数据包头则描述了每个数据包的详细信息，如时间戳、捕获长度、实际长度等。

3. python解析pcap文件的工具3.1 Scapy是一款功能强大的python网络数据包操作库，支持解析和创建各种类型的网络数据包，包括pcap文件。

3.2 通过Scapy库中的rdpcap函数，我们可以轻松读取pcap文件并将其转换为数据包列表，方便后续的解析和分析。

4. pcap文件解析实例4.1 使用Scapy库中的rdpcap函数读取指定的pcap文件，并将其存储为数据包列表。

4.2 针对数据包列表，可以逐个遍历数据包，并通过Scapy提供的方法获取数据包的详细信息，如源IP位置区域、目标IP位置区域、协议类型、数据长度等。

4.3 可以进一步对数据包进行过滤和筛选，以便针对特定的网络通信进行深入分析。

5. 总结与展望5.1 通过以上实例，我们深入了解了pcap文件的结构和python解析方法，为进一步的网络数据包分析打下了基础。

5.2 随着网络安全和数据分析领域的不断发展，pcap文件的解析和利用将变得更加重要，我们可以进一步探索基于pcap文件的网络行为分析、异常检测等应用。

pcap文档

pcap文档Libpcap开发集介绍libpcap是一个C语言库，libpcap的英文意思是 Packet Capture library，即数据包捕获函数库，其功能是通过网卡抓取网络以太网中的数据包。

这个库为不同的平台提供了一致的c函数编程接口，在安装了libpcap 的平台上，以libpcap 为接口写的程序、应用，能够自由地跨平台使用。

它支持多种操作系统。

libpcap 结构简单，使用方便；它提供了20多个api封装函数，我们利用这些api函数即可完成本网络探测器所需的网络数据包监听功能。

Libpcap开发库的应用网络统计软件入侵检测系统网络调试数据包过滤，支持过滤机制BPFLibpcap开发库使用说明基于pcap的嗅探器程序的总体架构，其流程如下：首先要决定用哪一个接口进行嗅探开始。

在Linux中，这可能是eth0，而在BSD系统中则可能是xl1等等。

我们也可以用一个字符串来定义这个设备，或者采用pcap提供的接口名来工作。

初始化pcap。

在这里需要告诉pcap对什么设备进行嗅探。

假如愿意的话，我们还可以嗅探多个设备。

怎样区分它们呢？使用文件句柄。

就像打开一个文件进行读写一样，必须命名我们的嗅探“会话”，以此使它们各自区别开来。

如果只想嗅探特定的传输（如TCP/IP包，发往端口23的包等等），我们必须创建一个规则集合，编译并且使用它。

这个过程分为三个相互紧密关联的阶段。

规则集合被置于一个字符串内，并且被转换成能被pcap读的格式(因此编译它)。

编译实际上就是在我们的程序里调用一个不被外部程序使用的函数。

接下来我们要告诉 pcap使用它来过滤出我们想要的那一个会话。

(此步骤可选)最后，我们告诉pcap进入它的主体执行循环。

在这个阶段内pcap一直工作到它接收了所有我们想要的包为止。

每当它收到一个包就调用另一个已经定义好的函数，这个函数可以做我们想要的任何工作，它可以剖析所捕获的包并给用户打印出结果，它可以将结果保存为一个文件，或者什么也不作。

pcap简单使用和简单解释

pcap简单使⽤和简单解释数据类型bpf_u_int32实际上就是u_int的⼀个别名，还有吧bpf_int32实际上就是int的别名。

当然这个int是32位的，如果操作系统对int的定义不是4字节，bpf_int32就对应另外⼀种类型，总之，bpf_u_int32就是⼀个32位的⽆符号整型。

关键函数：int pcap_lookupnet(const char *device, bpf_u_int32 *netp,bpf_u_int32 *maskp, char *errbuf)⽤于获取⽹卡的⽹络号和⼦⽹掩码。

其中device参数是⽹卡名，netp 和maskp表⽰将要获得的⽹络号和⼦⽹掩码，都是以⽹络字节序存放的,⽐如⼀个IP为10.108.20.0，那么netp中存放的这个地址就是：1338378。

转换成⼆进制就是：00000000 00010100 01101100 00001010这个数在内存中的存在形式就是：低地址----------------------------------------》⾼地址00001010 01101100 00010100 00000000对应每个字节的⼗进制就是：10 108 20 0⽹络字节序和主机字节序⽐较容易混乱（⼤端表⽰和⼩端表⽰）。

⽹络字节序采⽤⼤端表⽰，就是数据的⾼位要存放到低地址。

⽽⼤多数主机字节序采⽤⼩端表⽰（也有采⽤⼤端表⽰的主机字节序），就是数据的低位放到低地址。

⽐如⽆符号整型1338378，的⼆进制表⽰为：数据的⾼位----------------------------》数据的低位00000000 00010100 01101100 00001010所以采⽤⼩端表⽰的主机字节序时，内存中存放的形式为：低地址----------------------------------------》⾼地址00001010 01101100 00010100 00000000errbuf存放错误信息。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

bytes (which may be greater than the previous number, if you are not saving the entire packet). 四：packet数据：即Packet（通常就是链路层的数据帧）具体内容，长度就是 Caplen，这个长度的后面，就是当前PCAP文件中存放的下一个Packet数据包，也就是说：PCAP文件里面并没有规定捕获的Packet数据包之间有什么间隔字符串，下一组数据在文件中的起始位置。我们需要靠第一个Packet包确定。最后， Packet数据部分的格式其实就是标准的网路协议格式了可以任何网络教材上找得到。
第二部分：PCAP文件解析
1、 pcap解析工具 Xplico Xplico 是一个从 pcap 文件中解析出IP流量数据的工具，可解析每个邮箱 (POP, IMAP, 和 SMTP 协议), 所有 HTTP 内容, VoIP calls (SIP) 等等
2、 C语言实现PCAP文件分析
实现步骤： 1）用Wireshark软件抓包得到test.pcap文件 2）程序：分析pcap文件头 -> 分析pcap_pkt头 -> 分析帧头 -> 分析ip头 -> 分析tcp头 -> 分析http信息 #include<stdio.h> #include<string.h> #include<stdlib.h> #include<netinet/in.h> #include<time.h> #define BUFSIZE 10240 #define STRSIZE 1024 typedef long bpf_int32; typedef unsigned long bpf_u_int32; typedef unsigned short u_short; typedef unsigned long u_int32; typedef unsigned short u_int16; typedef unsigned char u_int8; //pacp文件头结构体 struct pcap_file_header {
五：举例分析
图中最开始的绿色部分就是24 Bytes的Pcap Header,接下来红色的16 Bytes是第一个消息的Pcap Header。后面的红色的 16 Bytes是第二个消息的Pcap Header。两块蓝色的部分分别是两个消息从链路层开始的完整内容。在网络上实际传输的数据包在数据链路层上每一个Packet开始都会有7个用于同步的字节和一个用于标识该Packet开始的字节，最后还会有四个 CRC校验字节；而PCAP文件中会把前8个字节和最后4个校验自己去掉，因为这些信息对于协议分析是没有用的。用Wireshark打开一个PCAP数据包，每条消息的所有field会被解析出来并会按照协议层次折叠起来。第一层显示的是 FrameXXX，这一级别没有对应某层具体的协议，而是对本条消息的一个概括性总结，描述了一些有用的概括性信息，比如从里面我们可以看到本条消息各种协议的层次关系，展开其它协议层之后对应的是该协议的各个域，如下图所示：
u_int16 Flag_Segment; //标志+片偏移 u_int8 TTL; //生存周期 u_int8 Protocol; //协议类型 u_int16 Checksum; //头部校验和 u_int32 SrcIP; //源IP地址 u_int32 DstIP; //目的IP地址 } IPHeader_t; //TCP数据报头 typedef struct TCPHeader_t { //TCP数据报头 u_int16 SrcPort; //源端口 u_int16 DstPort; //目的端口 u_int32 SeqNO; //序号 u_int32 AckNO; //确认号 u_int8 HeaderLen; //数据报头的长度(4 bit) + 保留(4 bit) u_int8 Flags; //标识TCP不同的控制消息 u_int16 Window; //窗口大小 u_int16 Checksum; //校验和 u_int16 UrgentPointer; //紧急指针 }TCPHeader_t; // void match_http(FILE *fp, char *head_str, char *tail_str, char *buf, int total_len); //查找 http 信息函数 // int main() { struct pcap_file_header *file_header; struct pcap_pkthdr *ptk_header; IPHeader_t *ip_header; TCPHeader_t *tcp_header; FILE *fp, *output; int pkt_offset, i=0; int ip_len, http_len, ip_proto; int src_port, dst_port, tcp_flags; char buf[BUFSIZE], my_time[STRSIZE]; char src_ip[STRSIZE], dst_ip[STRSIZE];
OpenBSD 1 Ethernet, and Linux loopback devices 以太网类型，大多数的数据包为这种类型。 6 802.5 Token Ring 7 ARCnet 8 SLIP 9 PPP 10 FDDI 100 LLC/SNAP-encapsulated ATM 101 raw IP, with no link 102 BSD/OS SLIP 103 BSD/OS PPP 104 Cisco HDLC 105 802.11 108 later OpenBSD loopback devices (with the AF_value in network byte order) 113 special Linux cooked capture 114 LocalTalk 三 packet数据包头：
value hex a1b2c3d4. 2、主版本号：16位，默认值为0x2。 a 16-bit major version number,The major version number should have the value 2. 3、副版本号：16位，默认值为0x04。 a 16-bit minor version number,The minor version number should have the value 4. 4、区域时间：32位，实际上该值并未使用，因此可以将该位设置为0。 a 32-bit time zone offset field that actually not used, so you can (and probably should) just make it 0; 5、精确时间戳：32位，实际上该值并未使用，因此可以将该值设置为0。 a 32-bit time stamp accuracy field tha not actually used,so you can (and probably should) just make it 0; 6、数据包最大长度：32位，该值设置所抓获的数据包的最大长度，如果所有数据包都要抓获，将该值设置为65535；例如：想获取数据包的前64字节，可将该值设置为64。 a 32-bit snapshot length" field;The snapshot length field should be the maximum number of bytes perpacket that will be captured. If the entire packet is captured, make it 65535; if you only capture, for example, the first 64 bytes of the packet, make it 64. 7、链路层类型：32位，数据包的链路层包头决定了链路层的类型。 a 32-bit link layer type field.The link-layer type depends on the type of link-layer header that the packets in the capture file have: 以下是数据值与链路层类型的对应表 0 BSD loopback devices, except for later
第一部分：PCAP包文件格式
一基本格式：文件头数据包头数据报数据包头数据报...... 二、文件头：
文件头结构体 sturct pcap_file_header { DWORD magic; DWORD version_major; DWORD version_minor; DWORD thiszone; DWORD sigfigs; DWORD snaplen; DWORD linktype; } 说明： 1、标识位：32位的，这个标识位的值是16进制的 0xa1b2c3d4。 a 32-bit magic number ,The magic number has the
bpf_u_int32 magic; /* 0xa1b2c3d4 */ u_short version_major; /* magjor Version 2 */ u_short version_minor; /* magjor Version 4 */ bpf_int32 thiszone; /* gmt to local correction */ bpf_u_int32 sigfigs; /* accuracy of timestamps */ bpf_u_int32 snaplen; /* max length saved portion of each pkt */ bpf_u_int32 linktype; /* data link type (LINKTYPE_*) */ }; //时间戳 struct time_val { long tv_sec; /* seconds 含义同 time_t 对象的值 */ long tv_usec; /* and microseconds */ }; //pcap数据包头结构体 struct pcap_pkthdr { struct time_val ts; /* time stamp */ bpf_u_int32 caplen; /* length of portion present */ bpf_u_int32 len; /* length this packet (off wire) */ }; //数据帧头 typedef struct FramHeader_t { //Pcap捕获的数据帧头 u_int8 DstMAC[6]; //目的MAC地址 u_int8 SrcMAC[6]; //源MAC地址 u_short FrameType; //帧类型 } FramHeader_t; //IP数据报头 typedef struct IPHeader_t { //IP数据报头 u_int8 Ver_HLen; //版本+报头长度 u_int8 TOS; //服务类型 u_int16 TotalLen; //总长度 u_int16 ID; //标识