pcap文件格式

Dear 丶 2023-07-11 15:19 2阅读 0赞

#### 最近项目中需要对网络数据包进行分析。这篇文章是在[这里][Link 1]转的。 ####

#### pcap文件格式 ####

pcap文件格式是bpf保存原始数据包的格式，很多软件都在使用，比如tcpdump、wireshark等等，  
了解pcap格式可以加深对原始数据包的了解，自己也可以手工构造任意的数据包进行测试。

pcap文件的格式为：  
   文件头    24字节  
  数据包头 + 数据包  数据包头为16字节，后面紧跟数据包  
  数据包头 + 数据包  ......

pcap.h里定义了文件头的格式  
struct pcap\_file\_header \{  
        bpf\_u\_int32 magic;  
        u\_short version\_major;  
        u\_short version\_minor;  
        bpf\_int32 thiszone;     /\* gmt to local correction \*/  
        bpf\_u\_int32 sigfigs;    /\* accuracy of timestamps \*/  
        bpf\_u\_int32 snaplen;    /\* max length saved portion of each pkt \*/  
        bpf\_u\_int32 linktype;   /\* data link type (LINKTYPE\_\*) \*/  
\};

看一下各字段的含义：  
 magic：   4字节 pcap文件标识 目前为“d4 c3 b2 a1”  
 major：   2字节 主版本号     \#define PCAP\_VERSION\_MAJOR 2  
 minor：   2字节 次版本号     \#define PCAP\_VERSION\_MINOR 4  
 thiszone：4字节 时区修正     并未使用，目前全为0  
 sigfigs： 4字节 精确时间戳   并未使用，目前全为0  
 snaplen： 4字节 抓包最大长度 如果要抓全，设为0x0000ffff（65535），  
          tcpdump -s 0就是设置这个参数，缺省为68字节  
 linktype：4字节 链路类型    一般都是1：ethernet

数据包头的格式  
struct pcap\_pkthdr \{  
        struct timeval ts;      /\* time stamp \*/  
        bpf\_u\_int32 caplen;     /\* length of portion present \*/  
        bpf\_u\_int32 len;        /\* length this packet (off wire) \*/  
\};  
struct timeval \{  
        long            tv\_sec;         /\* seconds (XXX should be time\_t) \*/  
        suseconds\_t     tv\_usec;        /\* and microseconds \*/  
\};  
 ts：    8字节 抓包时间 4字节表示秒数，4字节表示微秒数  
 caplen：4字节 保存下来的包长度（最多是snaplen，比如68字节）  
 len：   4字节 数据包的真实长度，如果文件中保存的不是完整数据包，可能比caplen大

了解了pcap文件格式，就可以自己手工构造任意数据包了，可以以录好的包为基础，

用十六进制编辑器打开进行修改。

[Link 1]: http://songwensheng.javaeye.com/blog/674686