本文详细介绍了CAP文件的格式，特别是针对由ethereal和tcpdump生成的CAP文件。文件头包括magic number、版本信息、时区偏移、精度、最大捕捉长度和链路类型。链路类型决定了数据帧的帧头，例如以太网或PPP。每个数据包前16字节包含时间戳、捕获长度和原始长度。以太网帧头包括目的和源MAC地址以及包类型，可用于识别IP或ARP包。
windows下的wireshark和Linux下的tcpdump所抓的包为同样的CAP文件的格式，sniffer软件所抓的包文件扩展名也是.cap，但格式却不太一样。本文主要说明ethereal和tcpdump抓包产生的.cap文件的格式。
其实，要获得PCAP文件的格式，除了直接打开.cap文件来分析外，可以看WinPcap包或Linux下/usr/include下的pcap.h头文件。pcap.h文件中不但提供了cap文件解析的各种结构体，还提供了解析函数。
OK，先使用UE或WinHex打开.cap文件，开始分析其内容：
(1)cap文件头
前面24个字节是.cap文件的文件头。
头信息对应的结构体为：
struct pcap_file_header {
bpf_u_int32 magic;
u_short version_major;
u_short version_minor;
bpf_int32 thiszone; /* gmt to local correction */
bpf_u_int32 sigfigs; /* accuracy of timestamps */
bpf_u_int32 snaplen; /* max length saved portion of each pkt */
bpf_u_int32 linktype; /* data link t
最低0.47元/天 解锁文章
1225
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
