本文详细介绍了.pcap文件格式，包括文件头、数据包头、链路层数据等内容。数据包由文件头（包含tcpdump标识和版本信息）、数据包头（含时间戳和链路层数据长度）以及链路层数据（如以太网、PPP协议等）组成。通过分析数据包头和链路层数据，可以解密和处理网络传输中的IP、UDP数据。
当你在Windows或者Linux环境下用tcpdump命令抓取数据包时，你将得到如下格式的tcpdump文件：
文件头| 数据包头 | 链路层数据 | 数据包头 | 链路层数据 | 数据包头 | 链路层数据 |......
1. 文件头：每一个文件都以一个24字节的文件头开头。前四个字节是tcpdump文件标志“A1 B2 C3 D4”或为“D4 C3 B2 A1”。
2. 数据包头 | 链路层数据：文件头之后，就是“数据包头 | 链路层数据”为一组的这样一组组数据。
3. 数据包头长度16个字节，它不是网路上真正传输的数据，它包含的信息主要是截获这个包的时间等信息。数据包头的第8-11和12-15字节（按编程习惯，第一个字节为0字节）表示后面链路层数据包的长度。8-11字节是其理论长度，12-15字节为其实际长度，如果存在截断情况，两者可能不同。如果在tcpdump命令中使用了 -s 0 参数，则8-11字节和12-15字节应该相等。
从数据包头结束，到长度指明的字节数为止，是实际在网络中传输的链路层数据包。然后，就是下一个数据包头。
4. 链路层数据
链路层数据包格式和传输的方式有关：局域网共享上网，
最低0.47元/天 解锁文章
扫一扫
1889
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
