WireShark抓包的pcap文件格式分析

在拆包的过程中，我们必须要对WireShark截获的数据包的格式(即.pcap后缀的文件)有很清楚的了解，所以就把今天所学记录下来，以飨后来者。

一、结构体说明

pcap.h里定义了文件头的格式
struct pcap_file_header {
        bpf_u_int32 magic;
        u_short version_major;
        u_short version_minor;
        bpf_int32 thiszone;    
        bpf_u_int32 sigfigs;   
        bpf_u_int32 snaplen;   
        bpf_u_int32 linktype;  
};
看一下各字段的含义：
 magic：   4字节 pcap文件标识 目前为“d4 c3 b2 a1”
 major：   2字节主版本号     #define PCAP_VERSION_MAJOR 2
 minor：   2字节次版本号     #define PCAP_VERSION_MINOR 4
 thiszone&#