pacp_pkthdr结构详解

truct pcap_pkthdr

{

     struct timeval ts;  ts是一个结构struct timeval，它有两个部分，第一部分是1900开始以来的秒数，第二部分是当前秒之后的毫秒数

     bpf_u_int32 caplen;  表示抓到的数据长度

     bpf_u_int32len;   表示数据包的实际长度

}

pcap_pkthdr中 len 同caplen的区别

 

libpcap捕获时，使用pcap_loop之类的函数，在调用处理的handle的时候，返回的第一个参数的类型为pcap_pkthdr，第二个参数为uint8_t的指针，前者中有两个数据域的东东：caplen和len，如下：

struct pcap_pkthdr { 
struct timeval ts; /* time stamp */ 
bpf_u_int32 caplen; /* length of portion present */ 
bpf_u_int32 len; /* length this packet (off wire) */ 
};

ts：时间戳 
cpalen：当前分组的长度 
len：数据包的长度

caplen——真正实际捕获的包的长度 
len——这个包的长度

因为在某些情况下你不能保证捕获的包是完整的，例如一个包长1480，但是你捕获到1000的时候，可能因为某些原因就中止捕获了，所以caplen是记录实际捕获的包长，也就是1000，而len就是1480。