pcap文件格式

好吧

早就想写一个博客了，希望可以像大佬一样，不过一直没有行动。既然已经读研了，什么都玩过了，虽然也没有很想好好学习，但是以后还是要吃饭的呀。就当记录学习心得，也当做笔记吧，希望可以早日脱离弱鸡。

本来想给博客写一篇开题博客的，因为比较忙（懒）没时间，所以我决定三天内把开篇博客写了，嗯，这不重要。没想到第一篇博客是写pcap文件格式的。

下面正文：

Pcap文件格式实际上是抓取网络数据包的标准格式。具体的说明点击这里。

Pcap文件是二进制流文件，由一个文件头和若干个数据头+数据信息组成。

|Global Header|Packet Header|Packet Data|Packet Header|Packet Data|...|

文件头（24位）

bytes	type	Name	Description
4	uint32	magic_number	'A1B2C3D4' means the endianness is correct
2	uint16	version_major	major number of the file format
2	uint16	version_minor	minor number of the file format
4	int32	thiszone	correction time in seconds from UTC to local time (0)
4	uint32	sigfigs	accuracy of time stamps in the capture (0)
4	uint32	snaplen	max length of captured packed (65535)
4	uint32	network	type of data link (1 = ethernet)

数据包头（16位）

bytes	type	Name	Description
4	uint32	ts_sec	timestamp seconds
4	uint32	ts_usec	timestamp microseconds
4	uint32	incl_len	number of octets of packet saved in file
4	uint32	orig_len	actual length of packet

数据包数据就是以太网数据帧了，以太网数据帧头（16位），IP数据报头（20位），TCP数据报头（20位），之后就是真正的数据信息了。

数据直接紧跟在数据头后，没有校准。