pcap(pcap是什么意思)

pcap是数据报的存储格式，需要使用pcap相关的结构体进行数据的写入。具体使用方法如下面的代码。int test{/* ... ...*/pcap_dumper_t *pdumper;pcap_t *handler;handler = pcap_open_dead(1, 65535); /* 不限制包的长度 */pdumper = pcap_dump_open(handler, pcap_path); /* handler是函数内部malloc的，查看了下源代码没有释放，所以还是需要调用者释放的 */if(handler){free(handler);handler  = NULL;}struct pcap_pkthdr hdr;hdr.ts.tv_sec = 0;hdr.ts.tv_usec = 0;DataUnit *p = ptr_head;int len = 0;int loop_count = 0;char sessid[SESSLEN+1] = {0};/* 获取文件中的第一个会话id */memcpy(sessid, p->sessid, strlen(p->sessid));sessid[strlen(p->sessid)] = '';int count_len = 0;char *buf = NULL;/* 构造数据包结束标识 */char end_flag[SESSLEN + 1];loop_count = 0;while(loop_count < SESSLEN){end_flag[loop_count] = 'F';loop_count++;}end_flag[SESSLEN] = '';loop_count = 500;// while((strcmp(sessid ,p->sessid) == 0) && (count_len++ < FILEPACKETS)){while((count_len++ < FILEPACKETS)&&(loop_count--)){if(strcmp(p->sessid, end_flag) == 0)break;len = (p+1)->offset - p->offset;printf("packet len = %dn", len);buf = (char*)malloc(len+1);if(NULL == buf)goto err_exit_free;memcpy(buf, ptr_read + p->offset, len);/* 构造数据包头 */hdr.caplen = len;hdr.len = len;/* 数据包写入 */pcap_dump((u_char*)pdumper, &hdr, buf);free(buf);buf = NULL;p++;}/* 清空缓冲区 */pcap_dump_flush(pdumper);pcap_dump_close(pdumper);/* ... ...*/}

pcap文件是wireshark配置脚本文件。可以用Wireshark软件打开。

struct pcap_pkthdr { struct timeval ts; /* time stamp */时间戳 bpf_u_int32 caplen; /* length of portion present */在线抓到包的长度，无符号 bpf_u_int32 len; /* length this packet (off wire) */离线包长度 }; pcap_pkthdr是.pcap文件中包的头部，typedef struct pcap pcap_t，pcap_t是定义的一个结构体的对象。你看看编程的环境配的对不对，Winpcap这种抓包和分析包必须装好相应的驱动和配好include和lib文件，找Winpcap的函数和数据文档看看，其中定义了好多数据类型和结构体，我也开始学，可以多看看这些，了解下编起来就游刃有余了，你看我这样回答行不行，如果不行咱们再交流。

程序如下： #!/usr/bin/env python#coding=utf-8#读取pcap文件，解析相应的信息，为了在记事本中显示的方便，把二进制的信息import structfpcap = open('test.pcap','rb')ftxt = open('result.txt','w')string_data = fpcap.read()#pcap文件包头解析pcap_header = {}pcap_header['magic_number'] = string_data[0:4]pcap_header['version_major'] = string_data[4:6]pcap_header['version_minor'] = string_data[6:8]pcap_header['thiszone'] = string_data[8:12]pcap_header['sigfigs'] = string_data[12:16]pcap_header['snaplen'] = string_data[16:20]pcap_header['linktype'] = string_data[20:24]#把pacp文件头信息写入result.txtftxt.write("Pcap文件的包头内容如下： n")for key in ['magic_number','version_major','version_minor','thiszone','sigfigs','snaplen','linktype']:ftxt.write(key+ " : " + repr(pcap_header[key])+'n')#pcap文件的数据包解析step = 0packet_num = 0packet_data = []pcap_packet_header = {}i =24while(i

pcap文件是wireshark配置脚本文件。可以用Wireshark软件打开。 下面是打开pcap文件的步骤：1、Wireshark(前称Ethereal)是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。2、网络封包分析软件的功能可想像成 "电工技师使用电表来量测电流、电压、电阻" 的工作 - 只是将场景移植到网络上，并将电线替换成网络线。3、在过去，网络封包分析软件是非常昂贵，或是专门属于营利用的软件。Ethereal的出现改变了这一切。在GNUGPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码修改及客制化的权利。Ethereal是目前全世界最广泛的网络封包分析软件之一。 备注：需要下载Wireshark软件才能打开。
wireshark