网络数据包（.pacp）文件格式

1、前言

经常使用网络嗅探工具，抓取通过特定网卡上的数据包，用来分析网络问题。例如，使用Wireshark工具抓取电脑上的一张网卡的数据并保存，会发现生成的文件是.pacp格式。

2、pacp文件格式

文件头+ 数据包头+数据 +数据包头+数据 +数据包头+数据 +数据包头+数据+.........

数据包格式

结构名称	字节数	作用
文件头 Global Header	24	整个数据流文件，只会有一个 Global Header，它定义了本文件的读取规则、最大储存长度限制等内容；
数据包头 Packet Header	16	Packet Header可以有多个，每个Packet Header后面会跟着一串Packet Data，Packet Header定义了Packet Data的长度、时间戳等信息。

        

 

 

 

 

1、Global Header 结构

文件头结构有7个成员属性，下面结构体为nacp库中定义的结构 

struct pcap_file_header {
	bpf_u_int32 magic;
	u_short version_major;
	u_short version_minor;
	bpf_int32 thiszone;	/* gmt to local correction; this is always 0 */
	bpf_u_int32 sigfigs;	/* accuracy of timestamps; this is always 0 */
	bpf_u_int32 snaplen;	/* max length saved portion of each pkt */
	bpf_u_int32 linktype;	/* data link type (LINKTYPE_*) */
};

 

Magic：4Byte：标记文件开始，并用来识别文件自己和字节顺序。0xa1b2c3d4用来表示按照原来的顺序读取，0xd4c3b2a1表示下面的字节都要交换顺序读取。考虑到计算机内存的存储结构，一般会采用0xd4c3b2a1，即所有字节都需要交换顺序读取。
Major：2Byte： 当前文件主要的版本号，一般为 0x0200【实际上因为需要交换读取顺序，所以计算机看到的应该是 0x0002】
Minor：2Byte： 当前文件次要的版本号，一般为 0x0400【计算机看到的应该是 0x0004】
ThisZone：4Byte：当地的标准时间，如果用的是GMT则全零，一般都直接写 0000 0000
SigFigs：4Byte：时间戳的精度，设置为 全零 即可
SnapLen：4Byte：最大的存储长度，如果想把整个包抓下来，设置为 ffff 0000，但一般来说 ff7f 0000就足够了【计算机看到的应该是 0000 ff7f 】
LinkType：4Byte：链路类型，常用类型有以下几种，其他的，需要用的时候再查就行了。

2、Packet Header

数据包头有三个属性，每个属性占固定大小，所以可以使用一个结构体表示 。下面结构体是ncap库中定义的结构体

struct pcap_pkthdr {
	struct timeval ts;	/* time stamp */
	bpf_u_int32 caplen;	/* length of portion present */
	bpf_u_int32 len;	/* length of this packet (off wire) */
};

 

 Timestamp：被捕获时间的高位，单位是seconds
Timestamp：被捕获时间的低位，单位是microseconds
Caplen：当前数据区的长度，即抓取到的数据帧长度，不包括Packet Header本身的长度，单位是 Byte ，由此可以得到下一个数据帧的位置。
Len：离线数据长度：网络中实际数据帧的长度，一般不大于caplen，多数情况下和Caplen数值相等。
 

 3、Packet Data

在包头之后，就是数据包的数据了，数据长度就是Caplen个Byte，在这之后就是一个新的Packet Header，定义一个新的Packet Data属性，再接一个新的Packet Data，如此循环。