Al_lonely的博客

原创 pcap文件中caplen大于len

按说caplen表示包实际抓到的程度，len表示包原有的长度，caplen应该小于等于len的，但winhex打开pcap文件后发现，any口抓包的pcap文件中caplen比len多16个字节，这16个字节是填充的0x00。估计是pcap文件存储的时候有什么预留位吧，用libpcap读取这个文件的时候caplen和len就是相同的了，都等于0x0162，说明libpcap库是有处理过这种情况的，可以忽略。如图caplen=0x0172。