Pcap檔案格式解析

2021-10-01 19:38:05 字數 800 閱讀 8988

一、24位元組pcap檔案頭（乙個檔案只有乙個），linktype為鏈路層型別，決定資料幀頭結構，其他沒啥用

typedef struct pcapfileheader


pcapfileheader_t;
二、pcap包頭（乙個檔案可以有很多個包），

//時間戳


typedef struct pcaptime_val


pcaptime_val_t;


//pcap資料報頭結構體


pcapipv4header_t;
ipv6資料報頭

typedef struct pcapipv6header	//40位元組


pcapipv6header_t;
五、常用協議頭，tcp頭為公有部分，後面還有可選項部分，需要通過ip頭的報頭長度與公有部分長度計算

//tcp資料報頭


typedef struct pcaptcp_publicheader


pcaptcp_publicheader_t;


//udp資料頭


typedef struct pcapudpheader


pcapudpheader_t;


//icmp資料頭


typedef struct pcapicmpheader


pcapicmpheader_t;
六、以上為所有頭結構，後面部分為payload，pcap包頭記錄的長度與頭長度計算可得到

2、使用wireshark解析實驗驗證

PCAP檔案格式

一 基本格式 檔案頭 資料報頭 資料報 資料報頭 資料報.二 檔案頭結構體 以下是資料值與鏈路層型別的對應表 0 bsd loopback devices,except for later openbsd 1 ethernet,and linux loopback devices 乙太網型別，大多數...

pcap檔案格式

pcap檔案格式 pcap檔案格式是bpf儲存原始資料報的格式，很多軟體都在使用，比如tcpdump wireshark等等，了解pcap格式可以加深對原始資料報的了解，自己也可以手工構造任意的資料報進行測試。pcap檔案的格式為 檔案頭 24位元組 資料報頭 資料報 資料報頭為16位元組，後面緊跟...

pcap檔案格式

使用wireshark抓包工具，預設訪問為pcap檔案，pcap檔案頭24b各欄位說明 magic 4b 0x1a 2b 3c 4d 用來標示檔案的開始 major 2b，0x02 00 當前檔案主要的版本號 minor 2b，0x04 00當前檔案次要的版本號 thiszone 4b當地的標準時間...