网络编程-pcap数据包格式

　　Libpcap的官方网站是http://www.tcpdump.org/，该项目和Tcpdump项目是同一个团队维护。Libpcap是一个平台独立的

数据包捕获开发包，制定了数据包离线存储的事实标准。接下来我们就介绍一下该标准。

pcap文件格式如下：24字节文件头 +（ 16字节pcap数据包信息 + 数据包 ）* n。接下来具体介绍文件头的结构和pcap数

据包信息的结构。

pcap文件头结构在pcap.h中有定义，先展示如下：

//pcap.h里定义了文件头的格式

struct pcap_file_header {

        bpf_u_int32 magic;

        u_short version_major;

        u_short version_minor;

        bpf_int32 thiszone;     /* gmt to local correction */

        bpf_u_int32 sigfigs;    /* accuracy of timestamps */

        bpf_u_int32 snaplen;    /* max length saved portion of each pkt */

        bpf_u_int32 linktype;   /* data link type (LINKTYPE_*) */

};

各字段的含义：

 magic：   4字节 pcap文件的magic num 目前为0xD4C3B2A1

 major：   2字节 主版本号     #define PCAP_VERSION_MAJOR 2

 minor：   2字节 次版本号     #define PCAP_VERSION_MINOR 4

 thiszone：4字节 时区修正     未使用，目前全为0

 sigfigs： 4字节 精确时间戳   未使用，目前全为0

 snaplen： 4字节 抓包最大长度 如果要抓全，设为0x0000ffff（65535），

          tcpdump -s 0就是设置这个参数，缺省为68字节

 linktype：4字节 链路类型    一般都是1：ethernet

pcap数据包信息，如下

//数据包头的格式

struct pcap_pkthdr {

        struct timeval ts;      /* time stamp */

        bpf_u_int32 caplen;     /* length of portion present */

        bpf_u_int32 len;        /* length this packet (off wire) */

};

struct timeval {

        long            tv_sec;         /* seconds (XXX should be time_t) */

        suseconds_t     tv_usec;        /* and microseconds */

};

 ts：    8字节 抓包时间 4字节表示秒数，4字节表示微秒数

 caplen：4字节 保存下来的包长度（最多是snaplen，比如68字节）

 len：   4字节 数据包的真实长度，如果文件中保存的不是完整数据包，可能比caplen大

笔者通过对pcap文件的分析，发现pcap文件中的所有相关字段都是使用小头进行存储的。

以上我们对pcap数据包的结构做了详细的介绍，后续我会撰写文章说明如何编写程序修改

文件，主要会有两个例子，一个是用C语言方式修改，一个是用Python的方式修改。敬请期待。

网络编程-pcap数据包格式的更多相关文章

TCP/IP网络编程之数据包协议
一.概要在了解了网络字节序之后,接下来就是要讲最最重点的消息协议.数据包是什么呢,数据包可以理解为两个人讲电话说的每一句话的内容.通过大家约定好的方式去理解.达到只有接听电话两个人才懂的东西.在程序 ...
IM通信协议逆向分析、Wireshark自定义数据包格式解析插件编程学习
相关学习资料 http://hi.baidu.com/hucyuansheng/item/bf2bfddefd1ee70ad68ed04d http://en.wikipedia.org/wiki/I ...
网络：W5500 UDP数据包格式注意事项
1. 主题使用W5500测试UDP功能,发现收到的数据包和wireshark抓包的数据不同. 原来W5500接收寄存器的数据包并不是网络上的数据流,而是经过内部处理后展现出来的. 对于这个问题目前 ...
[转帖]IP /TCP协议及握手过程和数据包格式中级详解
IP /TCP协议及握手过程和数据包格式中级详解 https://www.toutiao.com/a6665292902458982926/ 写的挺好的其实一直没闹明白网络好广播地址还有网 ...
复刻smartbits的国产网络测试工具minismb功能特点-如何加载、发送PCAP数据包
复刻smartbits的网络性能测试工具minismb,是一款专门用于测试智能路由器,网络交换机的性能和稳定性的软硬件相结合的工具.可以通过此以太网测试工具测试任何ip网络设备的端口吞吐率,带宽,并发 ...
[na]ip数据包格式
IP Datagram Structure 字段名解释版本 IP协议的版本,目前的IP协议版本号为4,下一代IP协议版本号为6. 首部长度 IP报头的长度.固定部分的长度(20字节)和可变部分的长 ...
IP数据包格式
IP数据包格式 0 4 8 16 31 |4位版本 | 4位首部长度 | 8位服务类型 | 16位总长度(字节数)| |16位标识 | 3位标志 | 13位片偏移 | |8位生存时间| 8位协议 | ...
EIGRP-5-EIGRP数据包格式
EIGRP数据包直接承戟在IP数据包中.协议号为88.EIGRP数据包的最大长度取决于具体接口上的最大IP MTU设置——通常完整IP数据包为1500字节.其中1480字节可以用于 EIGRP数据包. ...
H264的RTP负载打包的数据包格式,分组,分片
H264的RTP负载打包的数据包格式,分组,分片 1. RTP数据包格式 RTP报文头格式(见RFC3550 Page12): 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 ...

随机推荐

iOS图片压缩
项目中常会遇到,上传图片的操作,由于iPhone手机直接拍照的图片往往比较大,一般3-4M,如果直接上传不做处理会浪费用户很多流量,再者有很多场景并不需要高清图片,所以在上传图片前对图片进行压缩,是很 ...
关于git status
如果只在本地修改,还没有commit,那么用git status, 打印信息为: 如果我本地没有修改文件,就是:
Android 开发笔记——通过 Intent 传递类对象
Android中Intent传递类对象提供了两种方式一种是通过实现Serializable接口传递对象,一种是通过实现Parcelable接口传递对象. 要求被传递的对象必须实现上述2种接口中的一种 ...
innerHTML/outerHTML; innerText/outerText; textContent
innerHTML v.s. outerHTML Element.innerHTML Reference: https://developer.mozilla.org/en-US/docs/Web/A ...
Strut2 采用token机制防御CSRF同时也可以防止表单重复提交
一未配置Struts2 token的情况下测试 1.从表单提交数据,可以从下图看出,快速点击保存按钮,请求提交了两次 2.检查post提交的数据中未含有token参数 3.查看数据列表,有重复数据 ...
SGU 275 To xor or not to xor（高斯消元）
题意: 从n个数中选若干个数,使它们的异或和最大.n<=100 Solution 经典的异或高斯消元. //O(60*n) #include <iostream> using nam ...
Java学习----方法的覆盖
方法的覆盖:子类继承父类,子类重写父类的同名方法. 覆盖的原则: 1. 方法的参数必须跟父类保持一致 2. 子类方法的修饰符的范围必须大于等于父类方法同名的修饰符(public > privat ...
DB2JAVIT：RC=9505解决方案
DB2JAVIT:RC=9505解决方案题记:WIN7下装DB2,启动任务中心.控制中心报DB2JAVIT:RC=9505. 解决方案:进入(计算机—>管理—>本地用户和组)把用户加入到 ...
Javascript闭包函数快速上手
闭包函数是什么?在开始学习的闭包的时候,大家很能都比较难理解.就从他的官方解释来说,都是比较概念化的. 不过我们也还是从闭包的含义出发. 闭包是指函数有自由独立的变量.换句话说,定义在闭包中的函数可以 ...
dede操作成功信息提示修改
函数修改 include/common.func.php 文件 function ShowMsg()函数

网络编程-pcap数据包格式

网络编程-pcap数据包格式的更多相关文章

随机推荐

热门专题