Wireshark 数据分析（一）

pcap包的结构

pcap数据包由 pcap文件头、packet包头 和 packet数据 组成如图所示（其中packet数据包也就是一帧以太帧）：

---

Pcap文件头24 byte, 各字段说明：

• Magic (标识位)
  4 byte：这个标识位的值是16进制的 0xa1,0xb2,0xc3,0xd4 （正序）用来标示文件的开始。若为逆序(0xd4,0xc3, 0xb2, 0xa1)则需要将后面的Packet Header进行逆序处理

• Major(主版本号)：2 byte, 默认值 0x02, 0x00

• Minor(副版本号)：2 byte，默认值0x04, 0x00

• ThisZone(区域时间)：4 byte当地的标准时间；全零

• SigFigs(精确时间戳)： 4 byte时间戳的精度；全零1

• SnapLen(精确时间戳)
  4 byte, 最大的存储长度, 该值设置所抓获的数据包的最大长度，如果所有数据包都要抓获，将该值设置为65535；例如：想获取数据包的前64字节，可将该