pcap文件

pcap包文件格式：

基本格式：

文件头：数据包头，数据报：数据包头，数据报

tcpdump和wireshark捕获网络数据落地的文件都是pcap文件格式。

pcap文件头结构体：

文件头结构体，libpcap源码中定义如下
 struct pcap_file_header {
        bpf_u_int32 magic;
        u_short version_major;
        u_short version_minor;
        bpf_int32 thiszone;     /* gmt to local correction */
        bpf_u_int32 sigfigs;    /* accuracy of timestamps */
        bpf_u_int32 snaplen;    /* max length saved portion of each pkt */
        bpf_u_int32 linktype;   /* data link type (LINKTYPE_*) */
};
说明：
 1、标识位：32位的，这个标识位的值是16进制的 0xa1b2c3d4。
2、主版本号：16位， 默认值为0x2。
3、副版本号：16位，默认值为0x04。
4、区域时间：32位，实际上该值并未使用，因此可以将该位设置为0。
5、精确时间戳：32位，实际上该值并未使用，因此可以将该值设置为0。
6、数据包最大长度：32位，该值设置所抓获的数据包的最大长度，如果所有数据包都要抓获，将该值设置为65535；例如：想获取数据包的前64字节，可将该值设置为64。

7、链路层类型：32位， 数据包的链路层包头决定了链路层的类型。

packet数据包头：

struct pcap_sf_pkthdr {

    struct pcap_timeval ts; /* time stamp */

    bpf_u_int32 caplen; /* length of portion present */

    bpf_u_int32 len; /* length this packet (off wire) */

};

struct pcap_timeval {

    bpf_int32 tv_sec; /* seconds */

    bpf_int32 tv_usec; /* microseconds */

};

说明：
 1、时间戳，包括：
秒计时：32位，一个UNIX格式的精确到秒时间值，用来记录数据包抓获的时间，记录方式是记录从格林尼治时间的1970年1月1日 00:00:00 到抓包时经过的秒数；
微秒计时：32位， 抓取数据包时的微秒值。

2、数据包长度：32位 ，标识所抓获的数据包保存在pcap文件中的实际长度，以字节为单位。
 
3、数据包实际长度： 所抓获的数据包的真实长度，如果文件中保存不是完整的数据包，那么这个值可能要比前面的数据包长度的值大。

packet数据：

  即Packet（通常就是链路层的数据帧）具体内容，长度就是Caplen，这个长度的后面，就是当前PCAP文件中存放的下一个Packet数据包，也就是说：PCAP文件里面并没有规定捕获的Packet数据包之间有什么间隔字符串，下一组数据在文件中的起始位置。我们需要靠第一个Packet包确定。最后，Packet数据部分的格式其实就是标准的网路协议格式了可以任何网络教材上找得到。