本文介绍了如何在Linux中打开和分析pcap文件，重点讲解了Ethereal（Wireshark）在网络协议分析中的应用。内容涵盖了pcap文件的头部字段解释，如Magic、Major、Minor等，并列举了常见的LinkType。此外，还解析了Packet包头的Timestamp、Caplen和Len字段，以及数据帧的结构。
前段时间因工作要求，需要对各种数据包进行分析和操作，内容涉及网路协议分析，socket，文件操作等。在此分享下学习和实践的经验。
首先介绍下网络抓包、协议分析的必备软件Ethereal，新版(Wireshark)以下还以Ethereal代之，目前最新版本已经支持在无线局域网抓包了。Linux和Windows均有对应安装包，它们分别是gcc和VC++编译的。不过Windows下是基于Winpcap而Linux下则是Libcap。Ethereal作为网路协议分析、学习、开发的敲门软件，其使用技巧及其原理机制(BPF)网上都有比较详尽的介绍，当初我收集的相关资料随后也会上传，不再多说。下面主要介绍下Ethereal默认的*.pcap文件保存格式。
Pcap文件头24B各字段说明：
Magic：4B：0x1A 2B 3C 4D:用来标示文件的开始
Major：2B，0x02 00:当前文件主要的版本号
Minor：2B，0x04 00当前文件次要的版本号
ThisZone：4B当地的标准时间；全零
SigFigs：4B时间戳的精度；全零
SnapLen：4B最大的存储长度
LinkType：4B链路类型
常用类型：
0BSD loopback devices, except for later OpenBSD
最低0.47元/天 解锁文章
扫一扫
5852
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
