pcap包的结构
pcap数据包由 pcap文件头、packet包头 和 packet数据 组成如图所示(其中packet数据包也就是一帧以太帧):
Pcap文件头24 byte, 各字段说明:
Magic (标识位)
4 byte:这个标识位的值是16进制的 0xa1,0xb2,0xc3,0xd4 (正序)用来标示文件的开始。若为逆序(0xd4,0xc3, 0xb2, 0xa1)则需要将后面的Packet Header进行逆序处理Major(主版本号):2 byte, 默认值 0x02, 0x00
Minor(副版本号):2 byte,默认值0x04, 0x00
ThisZone(区域时间):4 byte当地的标准时间;全零
SigFigs(精确时间戳): 4 byte时间戳的精度;全零1
SnapLen(精确时间戳)
4 byte, 最大的存储长度, 该值设置所抓获的数据包的最大长度,如果所有数据包都要抓获,将该值设置为65535;例如:想获取数据包的前64字节,可将该